CVE-2024-4577 - Лаборатория обнаружения внедрения аргументов PHP CGI

Полная лаборатория для разработки систем обнаружения для CVE-2024-4577 (внедрение аргументов PHP CGI). Включает готовые Vagrant-боксы, правила Wazuh SIEM и инструменты эксплуатации для обучения Blue Team.

Что входит

• Windows Server 2022 VM - уязвимый XAMPP + PHP-CGI, Sysmon, Wazuh Agent
• Kali Linux VM - предустановленные эксплойт-скрипты
• Wazuh SIEM - на базе Docker с 54 правилами обнаружения для продакшена
• Правила обнаружения - Wazuh XML, Sigma YAML, IOCs

Быстрый старт

Предварительные требования

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• минимум 12 ГБ ОЗУ

1. Запуск Wazuh SIEM

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

2. Запуск лабораторных ВМ

vagrant up
# Downloads ~12GB on first run

3. Получение IP-адресов ВМ

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. Запуск атаки

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. Просмотр обнаружения

Wazuh Dashboard -> Discover -> Filter: rule.id: 100442

Vagrant-боксы

Готовые боксы в HCP Vagrant Registry:

• CVE-2024-4577/windows - целевая Windows Server 2022
• CVE-2024-4577/kali - атакующий Kali Linux

Покрытие обнаружения (54 правила)

Учётные данные

Структура проекта

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

Сведения о CVE

• CVE ID: CVE-2024-4577
• Тип: Удалённое выполнение кода
• CVSS: 9.8 (Критический)
• Затронуты: PHP 8.1 < 8.1.29, 8.2 < 8.2.20, 8.3 < 8.3.8 (Windows + режим CGI)
• Корневая причина: Мягкий дефис (0xAD) обходит исправление CVE-2012-1823 в кодировке Windows Best-Fit

Лицензия

MIT