commix

#Tổng quan

Commix là một công cụ mã nguồn mở giúp tự động phát hiện và khai thác lỗ hổng command injection trên các hệ thống mục tiêu.

#Tính năng chính

• Tám kỹ thuật khai thác khác nhau bao gồm results-based, boolean-based, time-based, file-based, out-of-band, code injection, và nhiều hơn nữa.
• Cung cấp khả năng chuyển đổi từ chứng minh thực thi sang shell.
• Hỗ trợ nhiều loại đầu vào như GET/POST parameters, HTTP headers, cookies, JSON/XML/GraphQL bodies.
• Có thể chạy trên các nền tảng Unix-like và Windows.

#Khi nào sử dụng

• Kiểm thử lỗ hổng command injection trên các hệ thống mục tiêu trong phạm vi kiểm thử được phép.
• Phát hiện và khai thác lỗ hổng command injection để nâng cao quyền truy cập.
• Sử dụng kỹ thuật out-of-band để chứng minh thực thi khi không có phản hồi từ hệ thống mục tiêu.

#Lưu ý an toàn khi triển khai

• Công cụ được hệ thống tự động phát hiện từ GitHub, chưa qua thẩm định thủ công của HueCA-CYBER: kiểm tra mã nguồn, bản phát hành chính thức và chạy thử trong môi trường cô lập trước.
• Công cụ có khả năng tấn công: chỉ sử dụng trên hệ thống được ủy quyền bằng văn bản, trong phạm vi kiểm thử đã thống nhất.
• Chỉ sử dụng công cụ này trên các hệ thống bạn có quyền kiểm thử hoặc sở hữu.
• Chạy công cụ này như một dịch vụ có thể tạo ra rủi ro an ninh.
• Review changelog trước khi cập nhật để tránh thay đổi đột ngột.

#Nguồn

• Repository chính thức: https://github.com/commixproject/commix