# 后门

# php.ini 构成的后门

利用 auto_prepend_file 和 include_path

# .user.ini 文件构成的 PHP 后门

.user.ini 可运行于所有以 fastcgi 运行的 server。利用方式同 php.ini

# 反序列化

# PHP 序列化实现

# 常见处理器

PHP 序列化处理共有几种，分别为 php、php_serialize、php_binary 和 WDDX (需要编译时开启支持)，默认为 php，可通过配置中的 session.serialize_handler 修改。

如果 PHP 编译时加入了 WDDX 支持，则只能用 WDDX，WDDX 从 PHP 7.4 版本后开始弃用。从 PHP 5.5.4 起可以使用 php_serialize。 php_serialize 在内部简单地直接使用 serialize/unserialize 函数，并且不会有 php 和 php_binary 所具有的限制。

其中 PHP 处理器的格式为：键名 + 竖线 + 经过 serialize () 函数序列化处理的值。

其中 php_binary 处理器的格式为：键名的长度对应的 ASCII 字符 + 键名 + 经过 serialize () 函数序列化处理的值。

其中 php_serialize 处理器的格式为：经过 serialize () 函数序列化处理的数组。

# 序列化格式

其中 php_serialize 的实现在 php-src/ext/standard/var.c 中，主要函数为 php_var_serialize_intern ，序列化后的格式如下：

boolean
- b:<value>;
- b:1; // true
- b:0; // false
integer
- i:<value>;
double
- d:<value>;
NULL
- N;
string
- s:<length>:"<value>";
- s:1:"s";
array
- a:<length>:{key, value};
- a:1:{s:4:"key1";s:6:"value1";} // array("key1" => "value1");
object
- O:<class_name_length>:"<class_name>":<number_of_properties>:{<properties>};
reference
- 指针类型
- R:reference;
- ``O:1:"A":2:{s:1:"a";i:1;s:1:"b";R:2;}`
- $a = new A();$a->a=1;$a->b=&$a->a;

# private 与 protect

private 与 protect 变量和 public 变量不同，不能直接设置。

private 属性只能在其被定义的类内部访问，且不会被继承，在属性前加上类名，即 %00className%00 用于标定其是私有的。

protected 属性可以在父类和子类中访问，变量前添加 %00*%00 用于标定其是受保护的。

# PHP 反序列化漏洞

php 在反序列化的时候会调用 __wakeup / __sleep 等函数，可能会造成代码执行等问题。若没有相关函数，在析构时也会调用相关的析构函数，同样会造成代码执行。

另外 __toString / __call 两个函数也有利用的可能。

其中 __wakeup 在反序列化时被触发， __destruct 在 GC 时被触发， __toString 在 echo 时被触发， __call 在一个未被定义的函数调用时被触发。

下面提供一个简单的 demo.

	class Demo
	{

	public $data;

	public function __construct($data)
	{
	$this->data = $data;
	echo "construct<br />";
	}

	public function __wakeup()
	{
	echo "wake up<br />";
	}

	public function __destruct()
	{
	echo "Data's value is $this->data. <br />";
	echo "destruct<br />";
	}
	}

	var_dump(serialize(new Demo("raw value")));

输出

construct
Data's value is raw value.
destruct
string(44) "O:4:"Demo":1:{s:4:"data";s:9:"raw value";}"

把序列化的字符串修改一下后，执行

unserialize('O:4:"Demo":1:{s:4:"data";s:15:"malicious value";}');

输出

wake up
Data's value is malicious value.
destruct

这里看到，值被修改了.

上面是一个 unserialize() 的简单应用，不难看出，如果 __wakeup() 或者 __desturct() 有敏感操作，比如读写文件、操作数据库，就可以通过函数实现文件读写或者数据读取的行为。

那么，在 __wakeup() 中加入判断是否可以阻止这个漏洞呢？在 __wakeup() 中我们加入一行代码

	public function __wakeup()
	{
	if($this->data != 'raw value') $this->data = 'raw value';
	echo "wake up<br />";
	}

但其实还是可以绕过的，在 PHP5 < 5.6.25， PHP7 < 7.0.10 的版本都存在 wakeup 的漏洞。当反序列化中 object 的个数和之前的个数不等时，wakeup 就会被绕过，于是使用下面的 payload

unserialize('O:7:"HITCON":1:{s:4:"data";s:15:"malicious value";}');

输出

Data's value is malicious value.
destruct

这里 wakeup 被绕过，值依旧被修改了。

# 利用点

# SoapClient 原生利用

php 中的 SoapClient 类可以创建 soap 数据报文，在非 wsdl 模式下，SoapClient 的实例反序列化的时候会对第二个参数指明的 url 进行 soap 请求，该特性可用于 SSRF。

# ZipArchive 原生利用

php 原生类 ZipArchive::open() 中的 flag 参数如果设置为 ZipArchive::OVERWRITE 时，会删除指定文件，该特性在一定条件下可以用于删除文件。

# Session

PHP 中 session 默认是以文件形式存储的，文件以 sess_sessionid 命名，在 session 一定程度可控的情况下，可通过 session 触发反序列化。

# 相关 CVE

# CVE-2016-7124

在 PHP 5.6.25 之前版本和 7.0.10 之前的版本，当对象的属性 (变量) 数大于实际的个数时， __wakeup() 不会被执行。

# Disable Functions

# 机制实现

PHP 中 Disable Function 的实现是在 php-src/Zend/Zend-API.c 中。PHP 在启动时，读取配置文件中禁止的函数，逐一根据禁止的函数名调用 zend_disable_function 来实现禁止的效果。

这个函数根据函数名在内置函数列表中找到对应的位置并修改掉，当前版本的代码如下：

ZEND_API int zend_disable_function(char *function_name, size_t function_name_length) /*

语言反序列化 PHP