后门

php.ini构成的后门

.user.ini文件构成的PHP后门

反序列化

PHP序列化实现

常见处理器

序列化格式

private与protect

PHP反序列化漏洞

利用点

SoapClient 原生利用

ZipArchive 原生利用

Session

后门

php.ini构成的后门

利用 auto_prepend_file 和 include_path

.user.ini文件构成的PHP后门

.user.ini可运行于所有以fastcgi运行的server。

利用方式同php.ini

反序列化

PHP序列化实现

常见处理器

PHP序列化处理共有几种，分别为php、php_serialize、php_binary和WDDX(需要编译时开启支持)，默认为php，可通过配置中的 session.serialize_handler 修改。

如果 PHP 编译时加入了 WDDX 支持，则只能用 WDDX，WDDX从PHP 7.4版本后开始弃用。从 PHP 5.5.4 起可以使用 php_serialize。 php_serialize 在内部简单地直接使用 serialize/unserialize 函数，并且不会有 php 和 php_binary 所具有的限制。

其中PHP处理器的格式为：键名 + 竖线 + 经过serialize()函数序列化处理的值。

其中php_binary处理器的格式为：键名的长度对应的 ASCII 字符 + 键名 + 经过serialize()函数序列化处理的值。

其中php_serialize处理器的格式为：经过serialize()函数序列化处理的数组。

序列化格式

其中php_serialize的实现在 php-src/ext/standard/var.c 中，主要函数为 php_var_serialize_intern ，序列化后的格式如下：

booleanb:<value>;b:1; // trueb:0; // falseintegeri:<value>;doubled:<value>;NULLN;strings:<length>:"<value>";s:1:"s";arraya:<length>:{key, value};a:1:{s:4:"key1";s:6:"value1";} // array("key1" => "value1");objectO:<class_name_length>:"<class_name>":<number_of_properties>:{<properties>};reference指针类型R:reference;O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;}$a = new A();$a->a=1;$a->b=&$a->a;

private与protect

private与protect变量和public变量不同，不能直接设置。

private属性只能在其被定义的类内部访问，且不会被继承，在属性前加上类名，即 %00className%00 用于标定其是私有的。

protected属性可以在父类和子类中访问，变量前添加 %00*%00 用于标定其是受保护的。

PHP反序列化漏洞

php在反序列化的时候会调用 __wakeup / __sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。

另外 __toString / __call 两个函数也有利用的可能。

其中 __wakeup 在反序列化时被触发，__destruct 在GC时被触发， __toString 在echo时被触发, __call 在一个未被定义的函数调用时被触发。

下面提供一个简单的demo.

class Demo
{public $data;public function __construct($data){$this->data = $data;echo "construct<br />";}public function __wakeup(){echo "wake up<br />";}public function __destruct(){echo "Data's value is $this->data. <br />";echo "destruct<br />";}
}var_dump(serialize(new Demo("raw value")));

输出

construct
Data's value is raw value.
destruct
string(44) "O:4:"Demo":1:{s:4:"data";s:9:"raw value";}"

把序列化的字符串修改一下后，执行

unserialize('O:4:"Demo":1:{s:4:"data";s:15:"malicious value";}');

输出

wake up
Data's value is malicious value.
destruct

这里看到，值被修改了.

上面是一个 unserialize() 的简单应用，不难看出，如果 __wakeup() 或者 __desturct() 有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。

那么，在 __wakeup() 中加入判断是否可以阻止这个漏洞呢？在 __wakeup() 中我们加入一行代码

public function __wakeup()
{if($this->data != 'raw value') $this->data = 'raw value';echo "wake up<br />";
}

但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在wakeup的漏洞。当反序列化中object的个数和之前的个数不等时，wakeup就会被绕过，于是使用下面的payload

unserialize('O:7:"HITCON":1:{s:4:"data";s:15:"malicious value";}');

输出

Data's value is malicious value.
destruct

这里wakeup被绕过，值依旧被修改了。

利用点

SoapClient 原生利用

php中的SoapClient类可以创建soap数据报文，在非wsdl模式下，SoapClient的实例反序列化的时候会对第二个参数指明的url进行soap请求，该特性可用于SSRF。

ZipArchive 原生利用

php原生类 ZipArchive::open() 中的flag参数如果设置为 ZipArchive::OVERWRITE 时，会删除指定文件，该特性在一定条件下可以用于删除文件。

Session

PHP中session默认是以文件形式存储的，文件以sess_sessionid命名，在session一定程度可控的情况下，可通过session触发反序列化。

【渗透测试实战】PHP语言有哪些后门？以及利用方法相关推荐

《内网安全攻防：渗透测试实战指南》读书笔记（八）：权限维持分析及防御
目录前言一.操作系统后门 1.粘滞键后门 2.注册表注入后门 3.计划任务后门 4.meterpreter后门 5.Cymothoa后门 6.WMI后门二.WEB后门 1.Nishang下的We ...
【保姆级】黑客入门教程「Python安全攻防：渗透测试实战指南」经典纯狱风~
前言网络江湖,风起云涌,攻防博弈,从未间断,且愈演愈烈.从架构安全到被动纵深防御,再到主动防御.安全智能,直至进攻反制,皆直指安全的本质--攻防.未知攻,焉知防! 每一位网络安全从业者都有仗剑江湖的 ...
黑客零基础入门教程《Python安全攻防：渗透测试实战指南》极致经典，学完即可包吃包住
前言网络江湖,风起云涌,攻防博弈,从未间断,且愈演愈烈.从架构安全到被动纵深防御,再到主动防御.安全智能,直至进攻反制,皆直指安全的本质--攻防.未知攻,焉知防! 每一位网络安全从业者都有仗剑江湖的 ...
内部视频放送 |《Python安全攻防：渗透测试实战指南》知识星球
如果你立志成为一名合格的安全从业者,想突破"脚本小子"的瓶颈,成为真正的黑客,想拥有自己打造出来的属于自己的神兵利器!<Python安全攻防:渗透测试实战指南>马上就要 ...
《树莓派渗透测试实战》——2.7　设置SSH服务
本节书摘来自异步社区<树莓派渗透测试实战>一书中的第2章,第2.7节,作者[美]Joseph Muniz(约瑟夫穆尼斯),Aamir Lakhani(阿米尔拉克哈尼),朱筱丹译,更多 ...
《树莓派渗透测试实战》——总结
本节书摘来异步社区<树莓派渗透测试实战>一书中的第1章,作者 [美]Joseph Muniz(约瑟夫穆尼斯) , Aamir Lakhani(阿米尔拉克哈尼),更多章节内容可以访问云栖 ...
《树莓派渗透测试实战》——2.12　用例子总结以上步骤
本节书摘来异步社区<树莓派渗透测试实战>一书中的第2章,第2.12节,作者[美]Joseph Muniz(约瑟夫穆尼斯) , Aamir Lakhani(阿米尔拉克哈尼),更多章节内容 ...
web渗透测试实战-SQLMAP
一.实验项目名称 web渗透测试实战-SQLMAP 二.实验目的及要求熟悉SQL注入漏洞原理熟悉SQLMAP工具使用. 1.获取数据库信息:数据库漏洞.数据库名.数据库版本等 python sql ...
《内网安全攻防：渗透测试实战指南》读书笔记（二）：内网信息收集
目录前言一.收集本机信息 1.手动搜集 (1)查询网络配置 (2)查询操作系统及软件的信息 (3)查询本机服务信息 (4)查询进程列表 (5)查看启动程序信息 (6)查看计划任务 (7)查看主机开 ...

【渗透测试实战】PHP语言有哪些后门？以及利用方法

后门

php.ini构成的后门

.user.ini文件构成的PHP后门

反序列化

PHP序列化实现

常见处理器

序列化格式

private与protect

PHP反序列化漏洞

利用点

SoapClient 原生利用

ZipArchive 原生利用

Session

相关CVE

CVE-2016-7124

【资源推荐】

渗透测试专用系统

渗透测试相关工具

CSDN官方学习推荐 ↓ ↓ ↓

【渗透测试实战】PHP语言有哪些后门？以及利用方法相关推荐

最新文章

热门文章