PoC RCE tramite upload di immagini in NukeViet 4.6.01

PoC per laboratorio autorizzato relativo alla catena di upload di immagini segnalata in NukeViet:

1. verify_image() non rileva i tag short-open PHP (<?).
2. La normalizzazione del nome file preserva l'estensione .php interna.
3. La regola di rewrite dell'upload controlla .php solo alla fine dell'URI.
4. Un server con i tag short PHP abilitati e un handler PHP Apache applicabile può eseguire il polyglot caricato.

Questo repository non contiene credenziali, token, cookie o configurazioni di target live. Eseguirlo solo contro un laboratorio di proprietà o esplicitamente autorizzato.

Requisiti

• Python 3.10+
• requests
• Istanza di laboratorio NukeViet 4.6.01 con un account autorizzato abilitato all'upload
• Configurazione PHP/Apache del laboratorio conforme alle condizioni di esecuzione sopra indicate

Installa la dipendenza:

python3 -m pip install requests

Genera solo il payload

Nessuna richiesta di rete:

python3 nukeviet_rce.py --payload-only --file shell.php.jpg

Esecuzione contro un laboratorio autorizzato

python3 nukeviet_rce.py \
  --authorized \
  --url http://127.0.0.1:8080 \
  --username LAB_USER \
  --password 'LAB_PASSWORD' \
  --command id

Lo script esegue: login -> upload multipart -> estrazione del percorso caricato -> una richiesta di comando. Usa comandi di prova innocui come id o whoami.

Limiti delle evidenze

Il PoC dimostra l'impatto solo quando l'esatta configurazione del target raggiunge l'esecuzione PHP. Un esito positivo della generazione del payload o una corrispondenza a livello di codice sorgente non provano da soli un RCE a runtime. Non eseguirlo contro sistemi di terze parti.