CVE-2024-4577 - مختبر اكتشاف حقن وسائط PHP CGI

مختبر هندسة اكتشاف متكامل لثغرة CVE-2024-4577 (حقن وسائط PHP CGI). يشمل صناديق Vagrant مُعدّة مسبقاً، وقواعد Wazuh SIEM، وأدوات استغلال لتدريب الفريق الأزرق.

المحتويات

• جهاز Windows Server 2022 الافتراضي - XAMPP + PHP-CGI قابل للاستغلال، Sysmon، وكيل Wazuh
• جهاز Kali Linux الافتراضي - سكربتات استغلال مثبتة مسبقاً
• Wazuh SIEM - مبني على Docker مع 54 قاعدة اكتشاف إنتاجية
• قواعد الاكتشاف - Wazuh XML، Sigma YAML، مؤشرات الاختراق (IOCs)

بدء سريع

المتطلبات المسبقة

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• 12GB رام كحد أدنى

1. تشغيل Wazuh SIEM

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

2. تشغيل أجهزة المختبر الافتراضية

vagrant up
# Downloads ~12GB on first run

3. الحصول على عناوين IP للأجهزة الافتراضية

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. إطلاق الهجوم

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. مشاهدة الاكتشاف

لوحة Wazuh -> Discover -> تصفية: rule.id: 100442

صناديق Vagrant

صناديق مُعدّة مسبقاً على سجل HCP Vagrant:

• CVE-2024-4577/windows - هدف Windows Server 2022
• CVE-2024-4577/kali - مهاجم Kali Linux

تغطية الاكتشاف (54 قاعدة)

بيانات الاعتماد

هيكل المشروع

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

تفاصيل CVE

• معرف CVE: CVE-2024-4577
• النوع: تنفيذ كود عن بُعد (Remote Code Execution)
• درجة CVSS: 9.8 (حرجة)
• المتأثر: PHP 8.1 < 8.1.29، 8.2 < 8.2.20، 8.3 < 8.3.8 (ويندوز + وضع CGI)
• السبب الجذري: واصلة ناعمة (0xAD) تتجاوز إصلاح CVE-2012-1823 في ترميز Best-Fit لنظام ويندوز

الترخيص

MIT