Mauzy0x00/velociraptor_CVE-2025-6264_PoC

## CVE-2025-6264 **免责声明：** 这是一个教育研究项目。我并未发现此漏洞。本仓库出于学习目的演示了 CVE-2025-6264 - 受影响版本为 0.74.3 之前的版本 - 影响 Windows、MacOS 和 Linux `Admin.Client.UpdateClientConfig` artifact 缺少权限检查。拥有 Investigator 角色（具有 `COLLECT_CLIENT` 权限）的用户可以在本不应被允许的情况下使用它来更新客户端配置。这使你能够将客户端重定向到自己的恶意 Velociraptor 服务器并接管端点。 在我的博客上查看完整的文章： ## 概念验证辅助脚本 此脚本旨在辅助利用此 CVE。它通过以下方式实现： - 安装指定版本的 velociraptor - 配置本地 velociraptor 服务器 - 添加一个凭据为 'admin':'admin' 的管理员账户 - 输出包含 CA 证书、nonce 和相应 IP 地址的客户端配置 输出的客户端配置为 YAML 格式，旨在由较低权限用户插入到存在漏洞的 `Admin.Client.UpdateClientConfig` artifact 中。 运行脚本后，攻击者的恶意服务器将监听等待客户端连接。一旦执行 `UpdateClientConfig`，客户端将重新密钥并连接到你的服务器，而不是合法的服务器。 **使用方法：** ``` chmod +x 2025-6264_setup.sh sudo ./2025-6264_setup.sh ``` 如果你的系统上已经安装了 velociraptor，你可以生成一个配置文件： ``` ./2025-6264_setup.sh --client-only ``` 卸载 Velociraptor： ``` sudo apt autoremove velociraptor-server ```

标签：CISA项目, CSV导出, CVE-2025-6264, EDR绕过, PoC, Rapid7, Velociraptor, YAML配置, 中间人攻击, 云资产清单, 协议分析, 安全漏洞, 客户端配置更新, 应用安全, 恶意服务器重定向, 提权, 暴力破解, 权限提升, 漏洞复现, 用户态调试, 端点接管, 缺少权限检查, 网络安全, 越权访问, 逆向工程, 配置篡改, 隐私保护, 零日漏洞, 靶场环境, 高交互蜜罐