LFI2RCE via PHP_SESSION_UPLOAD_PROGRESS

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити вашу компанію в рекламі HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks мерч

• Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @hacktricks_live.

• Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks і HackTricks Cloud репозиторіїв на GitHub.

Основна інформація

Якщо ви знайшли включення локального файлу, навіть якщо у вас немає сесії і session.auto_start вимкнено. Якщо session.upload_progress.enabled включено і ви надаєте PHP_SESSION_UPLOAD_PROGRESS у даних multipart POST, PHP увімкне сесію для вас.

$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange'
$ ls -a /var/lib/php/sessions/
. ..
$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange' -d 'PHP_SESSION_UPLOAD_PROGRESS=blahblahblah'
$ ls -a /var/lib/php/sessions/
. ..
$ curl http://127.0.0.1/ -H 'Cookie: PHPSESSID=iamorange' -F 'PHP_SESSION_UPLOAD_PROGRESS=blahblahblah'  -F 'file=@/etc/passwd'
$ ls -a /var/lib/php/sessions/
. .. sess_iamorange

In the last example the session will contain the string blahblahblah

Зверніть увагу, що з PHP_SESSION_UPLOAD_PROGRESS ви можете контролювати дані всередині сесії, тому якщо ви включите файл сесії, ви можете включити частину, яку контролюєте (наприклад, php shellcode).

Хоча більшість посібників в Інтернеті рекомендує встановити session.upload_progress.cleanup на Off для налагодження. За замовчуванням session.upload_progress.cleanup в PHP все ще On. Це означає, що ваш прогрес завантаження в сесії буде очищено якнайшвидше. Таким чином це буде Умова гонки.

The CTF

У оригінальному CTF, де цей метод коментується, не вистачило лише використати Умову гонки, але завантажений вміст також повинен був починатися з рядка @<?php.

Через налаштування за замовчуванням session.upload_progress.prefix, наш файл СЕСІЇ почнеться з дратуючим префіксом upload_progress_ Наприклад: upload_progress_controlledcontentbyattacker

Хитрість видалення початкового префіксу полягала в трьохкратному кодуванні базою64 навантаження і потім декодуванні його через фільтри convert.base64-decode, це тому що при декодуванні базою64 PHP видалятиме дивні символи, тому після 3 разів лише навантаження надіслане зловмисником залишиться (і тоді зловмисник може контролювати початкову частину).

Додаткова інформація в оригінальному описі https://blog.orange.tw/2018/10/ та кінцевий експлойт https://github.com/orangetw/My-CTF-Web-Challenges/blob/master/hitcon-ctf-2018/one-line-php-challenge/exp_for_php.py Інший опис у https://spyclub.tech/2018/12/21/one-line-and-return-of-one-line-php-writeup/

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

• Якщо ви хочете побачити вашу компанію рекламовану в HackTricks або завантажити HackTricks у PDF Перевірте ПЛАНИ ПІДПИСКИ!

• Отримайте офіційний PEASS & HackTricks swag

• Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFTs

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @hacktricks_live.

• Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks та HackTricks Cloud репозиторіїв GitHub.