NukeViet 4.6.01 画像アップロード RCE PoC

報告された NukeViet 画像アップロードチェーンに対する、許可されたラボ向け PoC:

1. verify_image() が PHP ショートオープンタグ（<?）を見逃す。
2. ファイル名の正規化が内部の .php 拡張子を保持する。
3. アップロードのリライトルールが URI 末尾の .php のみをチェックする。
4. PHP ショートタグが有効で、該当する Apache PHP ハンドラが設定されたサーバーでは、アップロードされたポリグロットが実行される可能性がある。

このリポジトリには、認証情報、トークン、Cookie、実ターゲットの設定は含まれていません。所有している、または明示的に許可されたラボに対してのみ実行してください。

要件

• Python 3.10+
• requests
• アップロード権限を持つアカウントが用意された NukeViet 4.6.01 のラボインスタンス
• 上記の実行条件に一致するラボの PHP/Apache 設定

依存関係のインストール:

python3 -m pip install requests

ペイロードのみを生成

ネットワークリクエストは行いません:

python3 nukeviet_rce.py --payload-only --file shell.php.jpg

許可されたラボに対して実行

python3 nukeviet_rce.py \
  --authorized \
  --url http://127.0.0.1:8080 \
  --username LAB_USER \
  --password 'LAB_PASSWORD' \
  --command id

スクリプトは次の処理を行います: ログイン -> マルチパートアップロード -> アップロード先パスの抽出 -> コマンドリクエストを 1 回。id や whoami など、無害な検証用コマンドを使用してください。

証拠の範囲

この PoC が影響を示すのは、正確なターゲット設定が PHP 実行に到達した場合のみです。ペイロード生成の成功やソースレベルの一致だけでは、実行時の RCE を証明するものではありません。第三者システムに対して実行しないでください。