[含POC]紧急测试!PHP CGI Windows平台远程代码执行漏洞爆发!

0x02 漏洞描述

在PHP语言的设计过程中，未能充分考虑到Windows系统内部对字符编码转换采用的“最佳匹配”（Best-Fit）机制。特别是当PHP部署在Windows平台，并处理如繁体中文（代码页950）、简体中文（代码页936）、日文（代码页932）等特定语言环境时，存在安全漏洞。此漏洞为攻击者提供了可乘之机，允许他们通过精心构造的恶意请求来规避CVE-2012-1823的安全措施，进而通过参数注入等手段在受影响的PHP服务器上远程执行恶意代码。

利用条件：

1、用户认证：无需用户认证

2、前置条件：默认配置

3、触发方式：远程

0x03 影响范围

PHP 8.3 < 8.3.8
PHP 8.2 < 8.2.20
PHP 8.1 < 8.1.29

0x04 资产测绘

• fofaapp="XAMPP"
• 特征

0x05 漏洞复现

0x06修补建议

• 更新到PHP官方发布的最新PHP版本
• 如无法更新建议编写Rewrite 规则阻止攻击

注意：此份规则只作为繁体中文、简体中文及日文语系中的暂时性缓解机制，建议以更新版本进行修复

RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad [NC]
RewriteRule .? - [F,L]