CVE-2024-4577 - PHP CGI 인자 주입 탐지 랩

CVE-2024-4577(PHP CGI 인자 주입)을 위한 완전한 탐지 엔지니어링 랩입니다. 사전 구축된 Vagrant 박스, Wazuh SIEM 규칙, 블루 팀 훈련용 익스플로잇 도구가 포함되어 있습니다.

포함 내용

• Windows Server 2022 VM - 취약한 XAMPP + PHP-CGI, Sysmon, Wazuh 에이전트
• Kali Linux VM - 사전 설치된 익스플로잇 스크립트
• Wazuh SIEM - Docker 기반, 54개의 운영 탐지 규칙 포함
• 탐지 규칙 - Wazuh XML, Sigma YAML, IOCs

빠른 시작

사전 요구 사항

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• 최소 12GB RAM

1. Wazuh SIEM 시작

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

2. 랩 VM 시작

vagrant up
# Downloads ~12GB on first run

3. VM IP 확인

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. 공격 실행

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. 탐지 확인

Wazuh 대시보드 -> Discover -> 필터: rule.id: 100442

Vagrant 박스

HCP Vagrant 레지스트리의 사전 구축 박스:

• CVE-2024-4577/windows - Windows Server 2022 대상
• CVE-2024-4577/kali - Kali Linux 공격자

탐지 범위 (54개 규칙)

자격 증명

프로젝트 구조

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

CVE 세부 정보

• CVE ID: CVE-2024-4577
• 유형: 원격 코드 실행
• CVSS: 9.8 (치명적)
• 영향: PHP 8.1 < 8.1.29, 8.2 < 8.2.20, 8.3 < 8.3.8 (Windows + CGI 모드)
• 근본 원인: 소프트 하이픈(0xAD)이 Windows Best-Fit 인코딩에서 CVE-2012-1823 패치를 우회

라이선스

MIT