rayngnpc/cve-2024-4577-rayngCVE-2024-4577 Injeção de Argumentos PHP CGI - Laboratório de Detecção com VMs Vagrant e Regras Wazuh SIEM
Um laboratório completo de engenharia de detecção para CVE-2024-4577 (Injeção de Argumentos PHP CGI). Inclui máquinas Vagrant pré-construídas, regras Wazuh SIEM e ferramentas de exploração para treinamento de Blue Team.
cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)
vagrant up
# Downloads ~12GB on first run
VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP
vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"
Painel Wazuh -> Discover -> Filtro: rule.id: 100442
Máquinas pré-construídas no HCP Vagrant Registry:
CVE-2024-4577/windows - Alvo Windows Server 2022CVE-2024-4577/kali - Atacante Kali Linux| Camada | Detecção | MITRE ATT&CK |
|---|---|---|
| Log da Web | Variantes de hífen suave, wrappers PHP | T1190 |
| Processo | php-cgi.exe gerando cmd/powershell | T1059 |
| Arquivo | Queda de webshell em htdocs | T1505.003 |
| Credencial | LSASS, despejo SAM, Mimikatz | T1003 |
| Lateral | PsExec, WMI, WinRM | T1021 |
| Persistência | Tarefas agendadas, serviços, registro | T1053, T1543 |
| Sistema | Nome de Usuário | Senha |
|---|---|---|
| VM Windows | Administrator | DetectionLab123! |
| VM Kali | kali | kali |
| Wazuh | admin | SecretPassword |
CVE-2024-4577/
├── Vagrantfile # Lab VM definitions
├── README.md # This file
├── detections/ # Detection rules
│ ├── wazuh-rules.xml # 54 Wazuh detection rules
│ ├── sigma-rules.yml # Sigma format rules
│ ├── iocs.json # Indicators of Compromise
│ └── detection-guide.md
└── wazuh/ # Wazuh SIEM stack
└── docker-compose.yml
MIT