CVE-2024-4577-LetsDefend-walkthrough

事件响应演练：缓解零日攻击（CVE-2024-4577）

[LetsDefend 分析报告] PHP-CGI (CVE-2024–4577)

场景： 我们的入侵检测系统（IDS）和入侵防御系统（IPS）于 UTC 时间 12:05 发现一起针对关键系统组件的潜在攻击。本文详细介绍了确认利用尝试并了解攻击者行为的调查过程。

调查：

1. 了解漏洞（CVE-2024-4577）：

   • 相关资料为理解该漏洞及潜在利用方法提供了宝贵见解。

2. 识别存在漏洞的 PHP 版本：

   • 采用了两种方法：
     • 分析 news.txt 以获取 PHP 更新历史。
     • 直接运行 php.exe -v 来确定版本。
   • 存在漏洞的版本： 8.2.19

3. 验证 PHP-CGI 配置：

   • 分析了 httpd.conf，以确认通过 php-cgi.exe 实现可利用性的指令。

4. 识别攻击者 IP：

   • 检查了 Apache 日志目录中的 access.log。
   • 攻击者 IP： 192.168.110.1

5. 目标页面：

   • 虽然该应用主要使用 upload.php，但攻击者可能使用 index.html 进行测试。
   • 目标页面：（很可能是 upload.php）

6. Apache 版本：

   • 检查了 error.log 以确定 Apache 版本。
   • Apache 版本： 2.4.59

7. 分析已执行的进程：

   • 初步使用 PECmd 和 Timeline Explorer 进行调查，未发现可疑活动。
   • 关联访问日志和错误日志后，识别出了成功的攻击尝试。
   • Timeline Explorer 识别出在成功利用后执行的以下进程：
     • whoami.exe
     • calc.exe

利用识别： 攻击者利用了零日漏洞（CVE-2024-4577）。

学习收获：

• 本次挑战提供了以下实践经验：
  • 调查零日漏洞（CVE-2024-4577）
  • 识别存在漏洞的软件版本
  • 分析漏洞利用方法
  • 利用 Prefetch 进行潜在命令检测

注意： 本文有意省略了漏洞版本、攻击者 IP 和目标页面等具体细节，以免为攻击者提供可参考的蓝本。

已获得徽章 Cve 2024 4577 Php Cgi 网络安全 Lets Defend Letsdefendio

作者：ph1n3y