攻击者是如何将PHP Phar包伪装成图像以绕过文件类型检测的(推荐)

在us blackhat 2018大会上，安全人员证明，攻击者不仅可以利用phar包发动rce攻击，而且，通过调整其二进制内容，他们还可以将其伪装成一幅图像，从而绕过安全检查。

在本文中，我们来看看第二点是如何做到的。

背景知识

在us blackhat 2018大会期间，sam thomas召开了一个关于在php中利用 phar:// 流包装器来实现针对服务器的代码执行攻击的研讨会（幻灯片）。

在运行phar包时，由于php会对其内容进行反序列化，从而允许攻击者启动一个php对象包含链。其中，最有趣的部分在于如何触发有效载荷：归档上的任何文件操作都将执行它。最后，攻击者根本无需关心文件名是否正确，因为即使是失败的文件调用，php也会对其内容进行反序列化处理。

此外，攻击者完全可以将phar包伪装成一幅图像：在这篇文章中，我们将为读者解释他们是如何做到这一点的。

降至字节码级别

有时我们会忘记这一点，那就是在机器眼里，文件只不过是一堆遵循预定义结构的字节而已。对于应用程序而言，将检查自己是否可以管理这样的数据流，如果可以的话，就会生成相应的输出。

在thomas的演讲中，曾提示如何创建具有有效jpeg头部的phar包。

图片引自sam thomas的幻灯片

不过，这里我们要做的是创建一个具有jpeg头部的文件，并更新phar的校验和。这样一来，phar包一方面会被视为一个图像，同时，php还可以继续执行它。

开始下手

听起来，这里只需修改几个字节并更新校验，按说应该非常轻松，对吧？

然而，事实并非如此。

计算校验和（至少对我来说）是一件让人头痛的事情。所以，我想：如果让php来代劳的话，会怎样呢？

所以，我对thomas的原始剧本进行了一番改造，具体如下所示：

<?php

class testobject {}

$phar = new phar("phar.phar");

$phar->startbuffering();

$phar->addfromstring("test.txt","test");

$phar->setstub("\\xff\\xd8\\xff\\xfe\\x13\\xfa\\x78\\x74 __halt_compiler(); ?>");

$o = new testobject();

$phar->setmetadata($o);

$phar->stopbuffering();

如您所见，这里将原始hex字节添加到了phar存档的存根部分。下面是原始hex得到的结果：