ianxtianxt/bypass_disablefunc_via_ld_preloadحلّ مشكلة تعذّر تنفيذ الأوامر أثناء رفع الصلاحيات في PHP بسبب تعطيل النظام لبعض الدوال.
bypass_disablefunc.php لديه ثلاثة خيارات GET: cmd و outpath و sopath.
الخيارات بسيطة جداً.
cmd هو أمرك الخبيث،
outpath هو مسار ملف مخرجات الأمر (قابل للقراءة والكتابة)،
sopath هو المسار المطلق للكائن المشترك bypass_disablefunc_x64.so الخاص بنا. على سبيل المثال:
أولاً، معامل cmd، وهو أمر النظام المطلوب تنفيذه (مثل pwd)؛
ثانياً، معامل outpath، وهو مسار الملف الذي يُحفظ فيه ناتج تنفيذ الأمر (مثل / tmp / xx) لتسهيل عرضه في الصفحة. وبخصوص هذا المعامل أيضاً، يجب الانتباه إلى ما إذا كان للويب صلاحيات القراءة والكتابة، وما إذا كان الويب قادراً على الوصول عبر الأدلة، وما إذا كان الملف سيُستبدل أو يُحذف، وغير ذلك من النقاط؛
ثالثاً، معامل sopath، وهو يحدد المسار المطلق للكائن المشترك الذي يختطف دوال النظام (مثل /var/www/bypass_disablefunc_x64.so). وبخصوص هذا المعامل، يجب الانتباه إلى ما إذا كان الويب قادراً على الوصول إليه عبر الأدلة.
علاوة على ذلك، يقوم bypass_disablefunc.php بجمع الأمر ومسار المخرجات لتكوين سطر أوامر كامل، لذا لا تحتاج إلى إعادة توجيه في معامل cmd.
bypass_disablefunc_x64.so هو الكائن المشترك لتنفيذ الأوامر، ويُجمَّع من bypass_disablefunc.c بالأمر:
gcc -shared -fPIC bypass_disablefunc.c -o bypass_disablefunc_x64.so
إذا كان الهدف بمعمارية x86، فستحتاج إلى إضافة الخيار -m32 وإعادة الترجمة لإنتاج bypass_disablefunc_x86.so.
انقل bypass_disablefunc.php و bypass_disablefunc_x64.so إلى الهدف بأي طريقة ممكنة. وبعد تحديد معاملات GET الثلاثة، سيتمكن bypass_disablefunc.php من تجاوز disable_functions.
المشاكل المعروفة:
1）قد تتطلب بيئات الهدف المختلفة إعادة ترجمة الكائن المشترك. إن bypass_disablefunc_x64.so في هذا المشروع تم تجميعه على debian بمعمارية x64، وقد يحتاج إلى إعادة ترجمة على الأنظمة غير القائمة على debian؛
2）يحتاج bypass_disablefunc.php إلى صلاحيات قراءة وكتابة على المسار المحدد بواسطة outpath. إذا كان SELinux مفعلاً على الهدف، فقد يمنع حساب الويب من كتابة الملفات. مثلاً، إذا نفّذت id بهوية apache، فسيكون الناتج uid=48(apache) gid=48(apache) groups=48(apache) context=system_u:system_r:httpd_t:s0. هل رأيت context=system_u:system_r:httpd_t:s0 في النهاية؟ إنه SELinux هو الذي يعبث بالأمر.
