FrankenPHP Unicode解析漏洞与Caddy API滥用攻击分析<\/h1>

漏洞背景<\/h2>
本漏洞存在于使用FrankenPHP框架的环境中，结合Unicode编码特性和Caddy配置API，实现从文件上传到远程代码执行的完整攻击链。<\/p>

环境配置<\/h2>

PHP 8.4 + FrankenPHP框架<\/li>
open_basedir限制：\/app\/public:\/tmp<\/li>
大量函数被禁用（exec、system、passthru等）<\/li>

文件上传限制：仅允许txt后缀<\/li> <\/ul>

漏洞利用步骤<\/h2>

第一阶段：Unicode后缀绕过<\/h3>

Unicode编码特性<\/h4>

Unicode包含多字节字符，如Å（3字节）、ẞ（3字节）、Ⱦ（2字节）<\/li>

字符大小写转换时字节长度可能发生变化<\/li> <\/ul>

关键发现：开尔文符号（K, U+212A）<\/h4>

原始字符：K<\/code> (U+212A) 占3字节<\/li>
小写转换后：k<\/code> 占1字节<\/li>

字节差：减少2字节<\/li>
<\/ul>
路径解析漏洞原理<\/h4>
FrankenPHP的splitCgiPath<\/code>函数处理流程：<\/p>

将路径转换为小写：path.lower()<\/code><\/li>
查找.php<\/code>后缀位置：splitPos()<\/code><\/li>
使用小写路径的索引切割原始路径：path[:splitPos]<\/code><\/li>
<\/ol>
攻击Payload构造<\/h4>
文件名：KK.txt.php<\/code><\/p>

原始路径：KK.txt.php<\/code>（14字节）<\/li>
小写路径：kk.txt.php<\/code>（10字节）<\/li>
splitPos()<\/code>返回：10（.php<\/code>结束位置）<\/li>
最终解析：KK.txt<\/code>（前10字节）<\/li>
<\/ul>
结果：将KK.txt<\/code>作为PHP文件解析<\/p>
第二阶段：Caddy API配置注入<\/h3>
Caddy API发现<\/h4>

默认监听地址：localhost:2019<\/li>
配置管理端点：\/config\/<\/code><\/li>
支持HTTP方法：GET、POST、PUT、PATCH、DELETE<\/li>
<\/ul>
路由配置结构分析<\/h4>
{
<\/span><\/span>  "match"<\/span>: [{"path"<\/span>: ["*.php"<\/span>]}],
<\/span><\/span>  "handle"<\/span>: [
<\/span><\/span>    {
<\/span><\/span>      "handler"<\/span>: "rewrite"<\/span>,
<\/span><\/span>      "uri"<\/span>: "{http.matchers.file.relative}"<\/span>
<\/span><\/span>    },
<\/span><\/span>    {
<\/span><\/span>      "handler"<\/span>: "php_server"<\/span>
<\/span><\/span>    }
<\/span><\/span>  ]
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>文件读取路由构造<\/h4>
{
<\/span><\/span>  "match"<\/span>: [{"path"<\/span>: ["\/_fs\/*"<\/span>]}],
<\/span><\/span>  "handle"<\/span>: [
<\/span><\/span>    {
<\/span><\/span>      "handler"<\/span>: "rewrite"<\/span>,
<\/span><\/span>      "strip_path_prefix"<\/span>: "\/_fs"<\/span>
<\/span><\/span>    },
<\/span><\/span>    {
<\/span><\/span>      "handler"<\/span>: "file_server"<\/span>,
<\/span><\/span>      "root"<\/span>: "\/"<\/span>,
<\/span><\/span>      "browse"<\/span>: true<\/span>
<\/span><\/span>    }
<\/span><\/span>  ]
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>第三阶段：配置注入实现<\/h3>
PHP上下文配置<\/h4>
$context =<\/span> stream_context_create<\/span>([
<\/span><\/span>    'http'<\/span> =><\/span> [
<\/span><\/span>        'method'<\/span> =><\/span> 'POST'<\/span>,
<\/span><\/span>        'header'<\/span> =><\/span> 'Content-Type: application\/json'<\/span>,
<\/span><\/span>        'content'<\/span> =><\/span> json_encode<\/span>($config)
<\/span><\/span>    ]
<\/span><\/span>]);
<\/span><\/span><\/code><\/pre>API调用目标<\/h4>

端点：http:\/\/localhost:2019\/config\/apps\/http\/servers\/srv0\/routes<\/code><\/li>
方法：POST（追加新路由）<\/li>
<\/ul>
第四阶段：绕过安全限制<\/h3>
初始问题<\/h4>

新路由被追加到末尾，被前面路由优先匹配<\/li>
需要修改现有路由顺序或配置<\/li>
<\/ul>
解决方案：使用PUT方法<\/h4>

直接替换整个routes数组<\/li>
确保文件读取路由优先匹配<\/li>
<\/ul>
第五阶段：远程代码执行实现<\/h3>
FrankenPHP配置发现<\/h4>
Caddy配置中的frankenphp应用支持PHP指令修改：<\/p>
{
<\/span><\/span>  "apps"<\/span>: {
<\/span><\/span>    "frankenphp"<\/span>: {
<\/span><\/span>      "php_ini"<\/span>: {
<\/span><\/span>        "open_basedir"<\/span>: "\/"<\/span>,
<\/span><\/span>        "disable_functions"<\/span>: ""<\/span>
<\/span><\/span>      }
<\/span><\/span>    }
<\/span><\/span>  }
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>完整攻击流程<\/h4>

上传Webshell（利用Unicode绕过后缀限制）<\/li>
通过Caddy API添加文件读取路由<\/li>
读取系统文件确认权限<\/li>
修改PHP配置解除安全限制<\/li>
执行系统命令获取flag<\/li>
<\/ol>
技术要点总结<\/h2>
关键漏洞点<\/h3>

Unicode大小写转换不一致性<\/strong>：字符编码处理差异导致路径解析错误<\/li>
Caddy API未授权访问<\/strong>：本地API暴露且无认证机制<\/li>
动态配置更新<\/strong>：运行时配置修改能力被滥用<\/li>
<\/ol>
防御建议<\/h3>

严格验证文件上传路径，统一大小写处理逻辑<\/li>
限制Caddy API访问权限，添加认证机制<\/li>
禁止通过API修改关键安全配置<\/li>
实施最小权限原则，限制PHP进程权限<\/li>
<\/ol>
攻击链特征<\/h3>

文件上传 → Unicode绕过 → API调用 → 配置修改 → RCE<\/li>
多阶段组合利用，依赖框架特定功能<\/li>
<\/ul>
此漏洞利用展示了现代Web框架中配置管理和路径解析的潜在风险，强调了安全开发实践中深度防御的重要性。<\/p>

FrankenPHP Unicode解析漏洞与Caddy API滥用攻击分析<\/h1>

漏洞背景<\/h2> 本漏洞存在于使用FrankenPHP框架的环境中，结合Unicode编码特性和Caddy配置API，实现从文件上传到远程代码执行的完整攻击链。<\/p>

漏洞利用步骤<\/h2>

第一阶段：Unicode后缀绕过<\/h3>

第三阶段：配置注入实现<\/h3>

第四阶段：绕过安全限制<\/h3>

第五阶段：远程代码执行实现<\/h3>

技术要点总结<\/h2>

漏洞背景<\/h2>
本漏洞存在于使用FrankenPHP框架的环境中，结合Unicode编码特性和Caddy配置API，实现从文件上传到远程代码执行的完整攻击链。<\/p>