技术分享｜某办公系统代码执行漏洞分析及检测优化，一名毕业三年的女程序媛面试头条经验

0x02 漏洞成因

Phar 是 PHP 的一种归档文件格式，它可以将一组 PHP 脚本文件、资源文件以及元数据打包成一个单独的文件。Phar 文件可以在运行时被加载和执行，就像一个独立的应用程序。Phar 文件通常用于分发 PHP 应用程序或将多个 PHP 脚本文件组织成一个易于分发和部署的单个文件。
当应用程序加载 Phar 文件的时候，其中的序列化数据将被反序列化为 PHP 对象。在这个过程中，PHP 解释器会尝试将序列化的字符串转换回原始对象。在这个过程通常通过调用 unserialize() 函数来完成。当我们看到 unserialize() 函数，基本上就是条件反射的想到了反序列化问题了，如果我们能够找到一个 POP 链，然后再让应用程序加载一个经过恶意修改之后的 Phar 文件的时候，我们就能利用 unserialize() 函数达到命令任意命令的效果了。
本例在网上已经有不少的公开文章给出了分析和验证方式了，这里我们就不花费大篇幅来进行讲述了。

2.1 漏洞成因：

1. 该 OA 系统可以在上传认证文件的接口未授权上传以inc、evf、license结尾的文件，且以inc结尾的文件名必须为register.inc，
2. 在认证文件读取的时候是靠传入的file参数获取数据库中的对应信息，并将对应的文件路径交由file_get_contents进行文件内容的读取，这里能发现，如果file_get_contents读取的文件路径是以phar://xx的形式就可以触发反序列化了，
3. 恰巧第二点所需的文件路径我们是可以在/eoffice10/server/public/api/attachment/path/migrate这个路由下控制descPath参数来提供的。

至此我们可以通过上传恶意的 Phar 文件，然后修改文件路径为phar://xx的形式，最后在认证文件读取的时候通过file_get_contents触发恶意 Phar 文件的反序列化。

2.2 验证方式：

1. 通过 phpggc 中的链(经过测试 Laravel/RCE4 和 RCE9 可用)生成 Phar 文件

./phpggc -p phar Laravel/RCE4 system whoami > RCE4.phar

2. 通过注册授权的位置上传 Phar 的序列化数据
3. 通过 phar:// 目录穿越到上传的 Phar 文件
4. 通过导入上传的 Phar 文件造成反序列化代码执行

这也算得上是比较经典的 Phar 反序列化漏洞了。

但是这样操作的话也是存在一些问题的：

1. 要验证该漏洞的话首先的得有 PHP 环境
2. 每次想要测试不同的命令的时候都需要重新生成 Phar 文件
3. 对文件进行修改的时候需要重新进行签名

这些问题就使得验证方案可移植性差、操作麻烦

面对这些问题最好的解决办法其实就是通过跨语言实现 Phar 文件的生成，虽然说现在跨语言移植也一直都是一个大的问题，但是有困难还是需要想办法去解决的。当然了现在由结果看来现在这个问题是解决了的。

0x03 Phar But Golang

由于 Go 语言目前没有现成的 Phar 文件生成机制，因此我们需要使用 Go 语言根据 Phar 文件的文件结构来生成 Phar 文件以作为最终的通用解决方案。

Phar 文件结构大致可以分为 Stub、manifest、Contents、Signature 四个部分。

3.1 Stub

Stub其实也是一个简单的 PHP 文件，它的格式形如xxx<?php xxx __HALT_COMPILER();?>，在 Stub 中前面的内容是不限制的，但是在 Stub 中必须有__HALT_COMPILER()，没有这个，PHP 就无法识别出它是 Phar 文件。

3.2 Manifest

Manifest 是 Phar 文件反序列化漏洞的关键部分，其可以分为以下九个部分

1. 1～4字节：确定了 manifest 的长度
2. 5～8字节：这个 Phar 文件中包含了几个文件
3. 9～10字节：API 的版本
4. 11～14：全局 Phar 位图标志（与是否包含签名和文件压缩格式相关）
5. 15～18：别名的长度
6. 别名：如果别名的长度为0，那就是没有别名，否则这个的长度等于前面四个字节所限定的长度
7. 别名之后的四个字节：这四个字节限定了后面的元数据的长度
8. 元数据：这里面的数据就是用户自己添加的类，然后会以序列化的方式进行存储。这里也是这次漏洞触发的关键，当 PHP 处理 Phar 文件的时候就会自动将这部分的数据进行反序列化操作，这就会导致触发 Phar 反序列化漏洞。
9. 再往后走就是所包含文件每个文件的条目了

因为内容比较多，所以我们就根据的 Phar 文件示例挑重点来看看

首先是第一部分 manifest 的长度：

5A 00 00 00 (90)是 manifest 的1～4字节，也就是表示的 manifest 的长度为90个字节。

接下来的是第七部分元数据的长度：

24 00 00 00(36)是manifest的19～22字节，表示的是后面元数据的长度，直接从19字节开始是因为前面的00 00 00 00是别名长度，因为别名长度为0，所以没有别名。

然后接下来的就是此次漏洞最关键的第八部分元数据：

根据图上的信息也能看到所选区域就是元数据部分，箭头指的地方就是元数据的长度，这个是和前面第七部分元数据长度对应上的。元数据的内容是 PHP 用 serialize() 进行序列化得到的结果，虽说这里是经过序列化的内容，但是还是能比较明显的看出这段数据的整体结构的，基本上可以看作是数据类型:数据集合中的个数/数据长度:数据内容，然后根据这样的原理可以对序列化数据进行修改。

然后，Contents 里面就是存放的一些文件数据了，这个在此漏洞中没有什么体现，暂且略过。

3.3 Signature

Signature 是一个可选项，使用情况和 manifest 中的全局 Phar 位图标志有所关联。允许使用的签名方式有 MD5, SHA1, SHA256, SHA512和 OPENSSL。

在 Signature 这个部分也是分为三个部分组成，一个变长(根据签名类型变化)的签名内容，签名类型(签证尾部的01代表md5加密，02代表sha1加密，03代表sha256加密，04代表sha512加密)，还有最终的标识。

以上就是我们自定义生成 Phar 文件所需要的关键的结构内容了，其实当 Phar 文件的结构被解构出来之后任意的一门程序语言想要生成一个自定义的 Phar 文件就已经不算是什么难事了。

3.4 Phar Golang

根据上述的结构就可以写一个脚本来生成 Phar 文件

整理一下我们需要完成的步骤：

1. 自定义的文件头
2. 生成反序列化命令执行的序列化数据
3. 可控化执行的命令的位置的长度和数据
4. 输入想要执行的命令，并得出命令长度
5. 得出元数据和 manifest 的长度
6. 生成其他的数据
7. 选择签名方式，生成签名
8. 按照顺序组合起来

然后按照上述步骤编写了一个测试函数，这个函数需要传入三个参数：一个自定义的 Stub，一个元数据的序列化流，一个签名的模式。

以下是测试函数输出的一些解析信息

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-7OzmbqOA-1713067708996)]