phar:// deserialization
Bug bounty tip: iscriviti a Intigriti, una premium bug bounty platform creata da hacker, per hacker! Unisciti a noi su https://go.intigriti.com/hacktricks oggi, e inizia a guadagnare bounty fino a $100,000!
I file Phar (PHP Archive) contengono metadati in formato serializzato, quindi, quando vengono analizzati, questi metadati vengono deserializzati e puoi provare ad abusare di una vulnerabilità di deserializzazione all'interno del codice PHP.
La cosa migliore di questa caratteristica è che questa deserializzazione avverrà anche utilizzando funzioni PHP che non valutano il codice PHP come file_get_contents(), fopen(), file() o file_exists(), md5_file(), filemtime() o filesize().
Quindi, immagina una situazione in cui puoi far ottenere a un web PHP la dimensione di un file arbitrario utilizzando il protocollo phar://
, e all'interno del codice trovi una classe simile alla seguente:
Puoi creare un file phar che, quando caricato, sfrutterà questa classe per eseguire comandi arbitrari con qualcosa come:
Nota come i byte magici di JPG (\xff\xd8\xff
) siano aggiunti all'inizio del file phar per bypassare le possibili restrizioni sui caricamenti di file.
Compila il file test.phar
con:
E eseguire il comando whoami
abusando del codice vulnerabile con:
Riferimenti
Suggerimento per il bug bounty: iscriviti a Intigriti, una premium bug bounty platform creata da hacker, per hacker! Unisciti a noi su https://go.intigriti.com/hacktricks oggi, e inizia a guadagnare bounty fino a $100,000!
Last updated