LFISuite - Totally Automatic LFI Exploiter (+ Reverse Shell) and Scanner

Vertigo

Lex mea est Vulgate Linux
Red Team
15.02.2017
447
793
#1
vertigo1.png

Добрый день,Уважаемые Форумчане,Друзья,Коллеги и всегда ,Дорогие гости нашего форума.

Если ранее, когда-то ,не придавалось внимание,как мы знаем,уязвимостям LFI.
В настоящее время,такие уязвимости признаны одними из самых опасных.

Знакомимся и встречаем инструмент,который позволяет сразу просканировать ресурс.
Эксплуатация и различные вариации атак также входят в функционал его возможностей.
Автором его является знаменитый и скромный D35m0nd142.
Скромным считаю его,т.к. инструмент ,по праву можно причислить к Framework своего рода.

Он полностью автоматизирован и функционал его достойный :

Automatic Configuration
Automatic Update
Provides 8 different Local File Inclusion attack modalities:

> /proc/self/environ
> php://filter
> php://input
> /proc/self/fd
> access log
> phpinfo
> data://
> expect://

vertigo2.png


Кроме того,поддерживает Tor proxy ,Reverse Shell для Windows, Linux OS
Позволяет работать с обратной оболочкой.

Зависимости:

Python 2.7.x
Python extra modules: termcolor, requests
socks.py


Работает в таких системах,как :Debian, Ubuntu, Fedora, Windows 10
От себя добавлю,что Arch Linux также подходит для работы с ним.

Устанавливаем и тестим.Первый запуск автор рекомендует произвести от имени суперпользователя.
Это позволит доустановить недостающие модули в систему,на случай их отсуствия.
В случае ошибок,рекомендуется выполнить их установку вручную.

Код:
# git clone https://github.com/D35m0nd142/LFISuite.git
# cd LFISuite/
# chmod +x lfisuite.py
# python lfisuite.py
# python2 lfisuite.py - это команда запуска на Arch Linux
Далее,инструмент нас спросит,будем ли мы работать через tor proxy.
Предлагает сканирование объекта,либо составление конкретного запроса.

Думаю,что многим он приглянётся,добавляю также авторское видео для более плотной полноты представления возможностей.

И на этом,вас благодарю за уделённое время и внимание ,спасибо ,что вы с нами и до новых встреч.

 
23.11.2016
16
4
#2
К сожалению, он не запустился у меня. Я не стал дебажить (python -mpdb), пока нет времени.
Запускал под debian.
 

Vertigo

Lex mea est Vulgate Linux
Red Team
15.02.2017
447
793
#3
К сожалению, он не запустился у меня. Запускал под debian.
Попробуйте указать ему запуск через python2 Для Debian это тоже применимо.
Конфигурация инструмента также настроена на обязательное указание пакета python и вывод ошибки при попытке запустить так :# . /lfisuite.py
Если это не поможет,то удалить,обновить систему и заново установить LFIsuite
 
23.11.2016
16
4
#4
Да, действительно. А всему виной моя невнимательность и лень. Хочется, чтобы инструмент работал из коробки, не вдумываясь.