phar:// deserialization
漏洞赏金提示:注册 Intigriti,一个由黑客为黑客创建的高级 漏洞赏金平台!今天就加入我们 https://go.intigriti.com/hacktricks,开始赚取高达 $100,000 的赏金!
Phar 文件(PHP Archive)文件 包含序列化格式的元数据,因此,当解析时,这个 元数据 会被 反序列化,你可以尝试利用 PHP 代码中的 反序列化 漏洞。
这个特性的最佳之处在于,即使使用不执行 PHP 代码的 PHP 函数,如 file_get_contents()、fopen()、file() 或 file_exists()、md5_file()、filemtime() 或 filesize(),也会发生反序列化。
所以,想象一个情况,你可以让一个 PHP 网站使用 phar://
协议获取任意文件的大小,并且在代码中你发现一个类似于以下的 类:
您可以创建一个 phar 文件,当加载时将 利用这个类执行任意命令,使用类似以下内容:
注意 JPG 的魔术字节 (\xff\xd8\xff
) 被添加到 phar 文件的开头,以 绕过 可能的 文件 上传 限制。
编译 test.phar
文件:
并利用易受攻击的代码执行 whoami
命令:
参考文献
漏洞赏金提示:注册 Intigriti,一个由黑客为黑客创建的高级漏洞赏金平台!今天就加入我们,访问 https://go.intigriti.com/hacktricks,开始赚取高达 $100,000 的赏金!
Last updated