CVE-2024-4577 - PHP CGI 参数注入检测实验室

一个针对 CVE-2024-4577 (PHP CGI 参数注入) 的完整检测工程实验室。包含预构建的 Vagrant 虚拟机、Wazuh SIEM 规则以及用于蓝队训练的利用工具。

包含内容

• Windows Server 2022 虚拟机 - 存在漏洞的 XAMPP + PHP-CGI、Sysmon、Wazuh Agent
• Kali Linux 虚拟机 - 预装的利用脚本
• Wazuh SIEM - 基于 Docker，包含 54 条生产检测规则
• 检测规则 - Wazuh XML、Sigma YAML、IOC

快速开始

前提条件

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• 至少 12GB 内存

1. 启动 Wazuh SIEM

cd wazuh
docker compose up -d
# 仪表盘：https://localhost:443 (admin / SecretPassword)

2. 启动实验室虚拟机

vagrant up
# 首次运行会下载约 12GB 数据

3. 获取虚拟机 IP

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. 发起攻击

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. 查看检测结果

Wazuh 仪表盘 -> 探索 -> 筛选条件: rule.id: 100442

Vagrant 虚拟机

HCP Vagrant Registry 上的预构建镜像：

• CVE-2024-4577/windows - Windows Server 2022 目标机
• CVE-2024-4577/kali - Kali Linux 攻击机

检测覆盖范围 (54 条规则)

层面	检测内容	MITRE ATT&CK
Web 日志	软连字符变体、PHP 包装器	T1190
进程	php-cgi.exe 产生 cmd/powershell	T1059
文件	htdocs 目录下的 Webshell 写入	T1505.003
凭据	LSASS、SAM 转储、Mimikatz	T1003
横向移动	PsExec、WMI、WinRM	T1021
持久化	计划任务、服务、注册表	T1053、T1543

凭据信息

系统	用户名	密码
Windows 虚拟机	Administrator	DetectionLab123!
Kali 虚拟机	kali	kali
Wazuh	admin	SecretPassword

项目结构

CVE-2024-4577/
├── Vagrantfile           # 实验室虚拟机定义
├── README.md             # 本文件
├── detections/           # 检测规则
│   ├── wazuh-rules.xml   # 54 条 Wazuh 检测规则
│   ├── sigma-rules.yml   # Sigma 格式规则
│   ├── iocs.json         # 入侵指标
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM 栈
    └── docker-compose.yml

CVE 详情

• CVE 编号: CVE-2024-4577
• 类型: 远程代码执行
• CVSS 评分: 9.8 (严重)
• 受影响范围: PHP 8.1 < 8.1.29, 8.2 < 8.2.20, 8.3 < 8.3.8 (Windows + CGI 模式)
• 根本原因: 软连字符 (0xAD) 绕过了 Windows Best-Fit 编码中对 CVE-2012-1823 的修复

许可证

MIT