CVE-2024-4577 - PHP-CGI-Argument-Injection-Erkennungslabor

Ein vollständiges Detection-Engineering-Labor für CVE-2024-4577 (PHP-CGI-Argument-Injection). Enthält vorgefertigte Vagrant-Boxes, Wazuh-SIEM-Regeln und Exploit-Tools für das Blue-Team-Training.

Was enthalten ist

Windows-Server-2022-VM - Verwundbares XAMPP + PHP-CGI, Sysmon, Wazuh-Agent
Kali-Linux-VM - Vorinstallierte Exploit-Skripte
Wazuh-SIEM - Docker-basiert mit 54 Produktions-Erkennungsregeln
Erkennungsregeln - Wazuh-XML, Sigma-YAML, IOCs

Schnellstart

Voraussetzungen

Vagrant 2.3+
VirtualBox 7.0+
Docker
Mindestens 12 GB RAM

1. Wazuh-SIEM starten

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

Ebene	Erkennung	MITRE ATT&CK
Web-Log	Soft-Hyphen-Varianten, PHP-Wrapper	T1190
Prozess	php-cgi.exe startet cmd/powershell	T1059
Datei	Webshell-Ablagen in htdocs	T1505.003
Anmeldedaten	LSASS, SAM-Dump, Mimikatz	T1003
Lateralbewegung	PsExec, WMI, WinRM	T1021
Persistenz	Geplante Aufgaben, Dienste, Registrierung	T1053, T1543

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

System	Benutzername	Passwort
Windows-VM	Administrator	DetectionLab123!
Kali-VM	kali	kali
Wazuh	admin	SecretPassword

CVE-2024-4577-rayng

Beliebteste

2. Labor-VMs starten

3. VM-IPs abrufen

4. Angriff starten

5. Erkennung anzeigen

Vagrant-Boxes

Erkennungsabdeckung (54 Regeln)

Zugangsdaten

Projektstruktur

CVE-Details

Lizenz