Filtrer les chaînes de gadgets :

Chaque chaîne de gadgets possède :

• Nom : nom du framework / de la bibliothèque
• Version : version du framework / de la bibliothèque pour laquelle les gadgets sont prévus
• Type : type d'exploitation : RCE, écriture de fichier, lecture de fichier, inclusion...
• Vecteur : le vecteur pour déclencher la chaîne après l'unserialize (__destruct(), __toString(), offsetGet(), ...)
• Informations : autres informations sur la chaîne

Utilisez -i pour obtenir des informations détaillées sur une chaîne :

Pour les gadgets RCE, la commande exécutée peut avoir 3 types de formatage selon le fonctionnement du gadget :

• RCE (Command): ./phpggc Symfony/RCE1 id
• RCE (PHP code): ./phpggc Symfony/RCE2 'phpinfo();'
• RCE (Function call): ./phpggc Symfony/RCE4 system id

Une fois que vous avez sélectionné une chaîne, exécutez ./phpggc <gadget-chain> [parameters] pour obtenir le payload. Par exemple, pour obtenir un payload pour Monolog, vous feriez :

Pour une écriture de fichier avec SwiftMailer, vous feriez :

Wrapper

L'option --wrapper (-w) vous permet de définir un fichier PHP contenant les fonctions suivantes :

• process_parameters(array $parameters): Appelée juste avant generate(), permet de modifier les paramètres
• process_object(object $object): Appelée juste avant serialize(), permet de modifier l'objet
• process_serialized(string $serialized): Appelée juste après serialize(), permet de modifier la chaîne sérialisée

Par exemple, si le code vulnérable ressemble à ceci :

Vous pourriez utiliser une chaîne __toString(), en l'enveloppant comme ceci :

Et vous appelleriez phpggc comme ceci :

PHAR(GGC)

Historique

Lors du BlackHat US 2018, @s_n_t a publié PHARGGC, un fork de PHPGGC qui, au lieu de construire un payload sérialisé, construit un fichier PHAR complet. Ce fichier PHAR contient des données sérialisées et peut donc être utilisé pour diverses techniques d'exploitation (file_exists, fopen, etc.). Le document est disponible ici.

Implémentation

Les archives PHAR existent en trois formats différents : PHAR, TAR et ZIP. Les trois sont pris en charge par PHPGGC. Des fichiers polyglottes peuvent être générés à l'aide de --phar-jpeg (-pj). D'autres options sont disponibles (utilisez -h).

Exemples

Encodeurs

Les arguments permettent de modifier la façon dont le payload est produit. Par exemple, -u l'encodera en URL, et -b le convertira en base64. Les payloads contiennent souvent des octets NULL et ne peuvent pas être copiés/collés tels quels. Utilisez -s pour un encodage URL doux, qui garde le payload lisible.

Les encodeurs peuvent être chaînés, et donc l'ordre est important. Par exemple, ./phpggc -b -u -u slim/rce1 system id mettra le payload en base64, puis l'encodera en URL deux fois.

Avancé : Améliorations

Destruct rapide

PHPGGC implémente une option --fast-destruct (-f), qui garantit que votre objet sérialisé sera détruit juste après l'appel à unserialize(), et non à la fin du script. Je recommande de l'utiliser pour chaque vecteur __destruct, car cela améliore la fiabilité. Par exemple, si le script PHP lève une exception après l'appel, la méthode __destruct de votre objet pourrait ne pas être appelée. Comme il est traité en même temps que les encodeurs, il doit être défini en premier.

Chaînes ASCII

Utilise le format de sérialisation S au lieu du s standard. Cela remplace chaque caractère non-ASCII par une représentation hexadécimale : s:5:"A<null_byte>B<cr><lf>";̀ -> S:5:"A\00B\09\0D"; Cela peut être utile lorsque, pour une raison quelconque, les caractères non-ASCII ne sont pas autorisés (octet NULL par exemple). Comme les payloads en contiennent généralement, cela garantit que le payload ne contient que des valeurs ASCII. Note : ceci est expérimental et pourrait ne pas fonctionner dans certains cas.

Chaînes Armor

Utilise le format de sérialisation S au lieu du s standard. Cela remplace chaque caractère par une représentation hexadécimale : s:5:"A<null_byte>B<cr><lf>";̀ -> S:5:"\41\00\42\09\0D"; C'est pratique lorsqu'un pare-feu ou du code PHP bloque les chaînes. Note : ceci est expérimental et pourrait ne pas fonctionner dans certains cas. Note : cela fait augmenter chaque chaîne du payload d'un facteur 3.

Nombres avec plus

Parfois, les scripts PHP vérifient que le payload sérialisé fourni ne contient pas d'objets en utilisant une regex telle que /O:[0-9]+:. Cela est facilement contourné en utilisant O:+123:... au lieu de O:123:. On peut utiliser --plus-numbers <types>, ou -n <types>, pour ajouter automatiquement ces signes + devant les symboles. Par exemple, pour obscurcir les objets et les chaînes, on peut utiliser : --n Os. Veuillez noter que depuis PHP 7.2, seuls les types i et d (flottant) peuvent avoir un +.

Propriétés publiques

Tente de convertir les références aux propriétés protégées ou privées du payload sérialisé en propriétés publiques. Cela peut être utile car lorsque PHP sérialise une propriété non publique d'un objet, il préfixe le nom de la propriété avec un astérisque (pour les propriétés protégées) ou le nom de la classe (pour les propriétés privées) entouré d'octets NULL, lesquels sont faciles à perdre si le payload est transmis ou stocké en texte brut sans encodage. Si cela se produit, le payload ne pourra pas être désérialisé car la longueur de chaîne du nom de la propriété (et le nom lui-même) sera incorrecte. En bonus, les payloads sont légèrement plus petits sans les préfixes. Convertir les propriétés en public a tendance à fonctionner dans les versions plus récentes de PHP, mais peut causer des problèmes dans les versions plus anciennes (avant PHP 7.2). Cette fonctionnalité peut ne pas fonctionner correctement si une chaîne inclut un ou plusieurs objets ayant une implémentation personnalisée de serialize / unserialize.

Tester votre chaîne

Pour tester si la chaîne de gadgets que vous souhaitez utiliser fonctionne dans l'environnement ciblé, placez-vous dans le dossier de votre environnement et exécutez la chaîne sans argument, avec l'option --test-payload.

Par exemple, pour tester si Monolog/RCE2 fonctionne sur Symfony 4.x :

Le code de sortie sera 0 si le payload se déclenche, 1 sinon.

Tester votre chaîne contre toutes les versions d'un paquet

Si vous souhaitez savoir contre quelles versions d'un paquet une chaîne de gadgets fonctionne, vous pouvez utiliser test-gc-compatibility.py.

Vous pouvez spécifier les versions que vous souhaitez tester en utilisant la syntaxe suivante.

API

Au lieu d'utiliser PHPGGC comme outil en ligne de commande, vous pouvez programmer des scripts PHP :

Cela vous permet d'ajuster les paramètres ou d'écrire des exploits plus facilement. Note : c'est assez expérimental pour le moment, veuillez donc signaler les bugs.

Contribuer

Les pull requests sont plus que bienvenues. Veuillez suivre ces directives simples :

• __destruct() est toujours le meilleur vecteur
• Spécifiez au moins la version de la bibliothèque sur laquelle vous avez construit le payload
• N'incluez pas de paramètres inutilisés dans la définition du gadget s'ils conservent leurs valeurs par défaut. Cela ne fait que rendre le payload plus volumineux.
• Respectez le style de code : par exemple, les accolades ouvrantes { sont sur une nouvelle ligne, et les tableaux doivent être écrits comme [1, 2, 3] au lieu de l'ancienne notation array(1, 2, 3).

Au niveau du code, la structure des répertoires est assez simple : les gadgets dans gadgets.php, la description + la logique dans chain.php. Vous pouvez définir des méthodes de pré- et post-traitement, si des paramètres doivent être modifiés. Espérons que les gadgets déjà implémentés suffiront pour que vous construisiez les vôtres. Sinon, je serai ravi de répondre à vos questions.

Veuillez tester autant de versions que possible. La nomenclature des versions est la suivante : [-]<lower-version> <= <higher-version>[+]. Les signes - et + indiquent que votre payload peut fonctionner respectivement sur des versions inférieures et supérieures. Par exemple, si votre chaîne de gadgets fonctionne de la version 2.0.0 à la version 4.4.1, qui est la dernière version à l'heure actuelle, utilisez 2.0.0 <= 4.4.1+.

L'option de ligne de commande --new <framework> <type> peut être utilisée pour créer la structure de répertoires et de fichiers d'une nouvelle chaîne de gadgets. Par exemple, ./phpggc -n Drupal RCE créerait une nouvelle chaîne de gadgets Drupal RCE.

Docker

Si vous ne souhaitez pas installer PHP, vous pouvez construire une image Docker en utilisant :

Vous pouvez ensuite utiliser le phpggc dockerisé.

Pour générer une chaîne de gadgets

Pour tester une chaîne

Placez-vous dans le dossier de votre environnement et exécutez la chaîne sans argument, avec l'option --test-payload :

Pour générer des fichiers phar / polyglottes

Note : La commande doit être exécutée dans le répertoire où se trouve l'image d'entrée.

Pour exécuter test-gc-compatibility.py

Licence

Apache License 2.0