PoC RCE par téléversement d'image NukeViet 4.6.01

PoC de laboratoire autorisé pour la chaîne de téléversement d'image NukeViet signalée :

1. verify_image() ne détecte pas les balises courtes d'ouverture PHP (<?).
2. La normalisation du nom de fichier préserve l'extension .php interne.
3. La règle de réécriture du téléversement ne vérifie .php qu'à la fin de l'URI.
4. Un serveur avec les balises courtes PHP activées et un gestionnaire PHP Apache applicable peut exécuter le polyglotte téléversé.

Ce dépôt ne contient aucun identifiant, jeton, cookie ni configuration de cible réelle. À exécuter uniquement contre un laboratoire possédé ou explicitement autorisé.

Prérequis

• Python 3.10+
• requests
• Une instance de laboratoire NukeViet 4.6.01 avec un compte autorisé capable de téléverser
• Une configuration PHP/Apache de laboratoire correspondant aux conditions d'exécution ci-dessus

Installer la dépendance :

python3 -m pip install requests

Générer uniquement la charge utile

Aucune requête réseau :

python3 nukeviet_rce.py --payload-only --file shell.php.jpg

Exécuter contre un laboratoire autorisé

python3 nukeviet_rce.py \
  --authorized \
  --url http://127.0.0.1:8080 \
  --username LAB_USER \
  --password 'LAB_PASSWORD' \
  --command id

Le script effectue : connexion -> téléversement multipart -> extraction du chemin téléversé -> une requête de commande. Utilisez des commandes de preuve inoffensives telles que id ou whoami.

Périmètre des preuves

Le PoC ne démontre l'impact que lorsque la configuration exacte de la cible atteint l'exécution PHP. Une réussite de génération de charge utile ou une correspondance au niveau du code source ne prouve pas à elle seule une RCE à l'exécution. Ne l'exécutez pas contre des systèmes tiers.