bttea/cve-2024-4577-rce-pocCVE-2024-4577 PoC de RCE
Ao implementar o PHP, a equipe não percebeu o recurso Best-Fit da conversão de codificação no sistema operacional Windows. Essa omissão permite que invasores não autenticados contornem a proteção anterior do CVE-2012-1823 por meio de sequências de caracteres específicas. Código arbitrário pode ser executado em servidores PHP remotos através do ataque de injeção de argumentos.
Este PoC é apenas para fins de aprendizado e pesquisa. Não o utilize para atividades ilegais; você é o único responsável por quaisquer consequências legais.
Esta vulnerabilidade foi descoberta por Orange Tsai (@orange_8361) da DEVCORE (@d3vc0r3). Certifique-se de seguir sua pesquisa excepcional; nosso papel foi apenas recriar e desenvolver o exploit para este problema.
Por que é necessário reescrever o script de exploit quando já existem muitos PoCs disponíveis publicamente online?
Como muitos PoCs publicamente disponíveis são baseados no mesmo exploit original, muitos fornecedores usaram esses PoCs como referência e bloquearam certas palavras-chave para evitar sua exploração. No entanto, muitas vezes eles deixam de bloquear todos os vetores de exploração potenciais. Para resolver isso, o script inclui um mecanismo simples para gerar parâmetros aleatórios, bem como diferentes métodos de exploração de LFI para RCE, para aumentar a taxa de sucesso da injeção PHP CGI que leva ao RCE.
Durante um teste em que estava tentando reproduzir uma vulnerabilidade ambiental, descobri que meu PoC consistentemente gerava um erro HTTP 500, independentemente dos ajustes. Como estava trabalhando em um ambiente vulnerável, comecei a investigar a causa do erro. Então, lembrei de um artigo da Devcore mencionando que, em certos cenários de exploração, o servidor retornaria um erro HTTP 500, mesmo que o exploit RCE fosse realmente bem-sucedido. Com isso em mente, decidi testar se conseguiria executar calc.exe localmente e, para minha surpresa, funcionou – foi um RCE cego!
No entanto, quando verifiquei o log de erros do Apache, encontrei um erro referenciando allow_url_include, apesar de o ataque ter sido executado com sucesso (e ainda não entendo completamente a causa raiz; se você tiver insights, entre em contato comigo). Isso me levou a criar um exploit que inclui uma opção para testar também o RCE cego😊.
Se o seu alvo for uma versão de sistema operacional anterior ao Windows 7, você ainda pode escalar para um RCE visível ou reverse shell através de outros métodos. No entanto, essas técnicas estão fora do escopo deste artigo, então não entraremos em detalhes. Como testador de penetração ou especialista em red team, você deve ser capaz de encontrar soluções alternativas com bastante rapidez, o que pode ser um processo interessante😉.
Atualizado em 15 de novembro de 2024
Devido a requisitos de trabalho, continuei melhorando o script para torná-lo o mais compatível possível com todos os ambientes e maximizar as chances de alcançar RCE. Esse esforço foi motivado pelo fato de que alguns alvos não conseguiam executar PHP com sucesso usando muitos PoCs públicos. Eventualmente, resolvi esse problema inesperadamente, conseguindo superar quase todos os casos em que ocorria o erro 500 e exibindo com sucesso os resultados da execução do PHP. Como resultado, o RCE cego não parecia mais tão crítico. 😧
Condições de exploração
Você precisa instalar as dependências:
$ python3 -m pip install requests Execute o script diretamente para obter instruções de uso. Você pode executar o comando abaixo para verificar se o alvo está vulnerável.
$ python3 CVE-2024-4577.py <target> <php shell>
Se o exploit existir no alvo, você pode salvar os resultados da execução do PHP localmente, o que é útil para quem precisa visualizar phpinfo.
$ python3 CVE-2024-4577.py <target> "phpinfo()" --save info.html
Quando o alvo é vulnerável a RCE cego, o script tentará ouvir em uma porta local e acionar o servidor alvo para executar PHP, enviando uma requisição para verificar a existência do exploit. Quando a requisição é recebida, indica que o servidor alvo executou o comando com sucesso.
