php phar LFI

0x01. 什么是phar

文件归档到一个文件包。
将一个模块的文件打包成一个phar，这样方便模块整体迁移，只需将phar文件移动过去，其他环境中include即可使用。
类似于java的 .jar 文件。
php 5.3时，为php的C语言扩展，安装php时会默认安装。

0x02. 创建phar文件

phar.readonly = Off 这个参数必须设置为Off，如果为On，表示phar文档不可写。

makephar.php

startBuffering();
$p['file1.txt'] = 'file1';
$p['file2.txt'] = 'file2';
$p['file3.txt'] = 'file3';
$p['shell.php'] = '';
 
// use my.phar
echo file_get_contents('phar://my.phar/file2.txt');  // echo file2
 
// make a file named my.phar
$p->setStub("stopBuffering();
 
?>

上面代码生成一个my.phar文件，代码输出file2字符串。

my.phar文件包含了file1.txt，file2.txt，file3.txt和shell.php这四个文件。当然了，这四个文件不是真实存在磁盘上。

注意：这几个文件不能直接通过http访问，但可以被include和file_get_contents等php函数利用。

0x03. 利用phar

在makephar.php文件的当前目录，新建一个callphar.php，利用phar特定的格式。

访问callphar.php即可调用shell.php

注意：phar文件不受文件名限制，即my.char可以任意的重命名为aaa.bbb

callphar.php

0x04. LFI漏洞代码及利用

upload.php

上面代码只能上传txt文件，并且可以include php后缀名的文件。

利用：
将makephar.php生成的my.char重命名为phar.txt，并且上传。

所以POC为：
http://localhost/pentest/web200/upload.php?file=phar://S9EvthZuJI1TC4u5.txt/shell