hunt-rce

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar a URL exata do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Prioridade de Teste Autônomo

O tipo de conteúdo é o principal modo de falha silenciosa para injeção de comandos.

Formulários web tradicionais usam Content-Type: application/x-www-form-urlencoded. Se você enviar um corpo JSON ({"host":"127.0.0.1;id"}) para um endpoint de formulário, o servidor lê request.form['host'] e não recebe nada — o aplicativo executa normalmente sem injeção, retornando uma resposta 200 plausível. Você obtém um falso negativo sem indicação de que algo deu errado.

Regra: Se a página tiver um formulário HTML (<form method="POST">), use codificação de formulário. Se o caminho for /api/... ou a resposta for JSON, use JSON.

Operadores de injeção de comandos para tentar (em ordem de prevalência):

value;id        ← Unix semicolon (most common)
value|id        ← pipe
value&&id       ← AND
value$(id)      ← subshell
value`id`       ← backtick

Prova: A saída do comando do sistema operacional (uid=N(username) gid=...) no corpo da resposta confirma a execução do código. A saída pode estar envolvida em HTML — isso ainda conta. Se a resposta estiver normal (200, conteúdo esperado) com a saída do comando anexada ou incorporada, a exploração é confirmada.

Alvos de Joias da Coroa

Vulnerabilidades de RCE (Execução Remota de Código) comandam os maiores pagamentos em programas de recompensa por bugs, pois concedem aos atacantes controle direto de execução sobre a infraestrutura alvo. Os alvos de maior valor são:

Tipos de ativos com maior pagamento:

• Produtos de servidor corporativo (GitHub Enterprise Server, GitLab auto-hospedado) — cadeias de escalonamento de privilégios de funções de console de baixo privilégio para acesso SSH root pagam consistentemente como crítico/alto.
• Cadeia de suprimentos / registros de pacotes — ataques de confusão de dependência contra npm, PyPI, etc. atingem gravidade crítica em todos os principais programas.
• Infraestrutura nativa da nuvem — servidores de API Kubernetes expostos, controladores de entrada e pipelines de CI/CD mal configurados.
• Backends de aplicativos móveis e fluxos OAuth — onde o processamento do lado do servidor de dados controlados pelo atacante encontra contextos de execução.
• Consoles de administração/gerenciamento — injeção de template em painéis de configuração alcança o root com um único payload.

Por que essa classe paga mais:

• O raio de explosão é em toda a infraestrutura, não limitado ao usuário.
• A prova de conceito é inequívoca — a saída do shell é inegável.
• A correção requer mudanças arquiteturais, não apenas um patch.
• Os programas não podem se dar ao luxo de falsos negativos em RCE.

Sinais de Superfície de Ataque

Padrões de URL

/management-console/*
/admin/settings/*
/api/v*/exec
/api/v*/run
/webhook/*
/_internal/*
/import?url=
/render?template=
/preview?format=

Cabeçalhos de Resposta / Sinais de Pilha de Tecnologia

X-Powered-By: Express          # Node.js — npm dependency surface
X-Powered-By: Phusion Passenger
Server: nginx (ingress-nginx)  # Kubernetes ingress — path field injection
X-Runtime: Ruby                # Rails ActiveStorage, RDoc, REXML attack surface
Content-Type: application/yaml # YAML parsers (SnakeYAML, Psych) — deserialization
X-GitHub-Enterprise-Version    # GHAS — nomad template, collectd, syslog-ng injection

Sinais de JavaScript / Frontend

// Look for these patterns in JS bundles
fetch('/api/exec', {method:'POST', body: cmd})
eval(userInput) <!-- security-allowlist: documented payload technique reference, do not execute outside authorized scope -->
new Function(userInput)
document.write(unsafeData)
window.location = userControlled  // URL scheme bypass → JS execution

Sinais de Pilha de Tecnologia

…