pearcmd文件包含

type

Post

status

Published

date

slug

summary

利用条件

安装了pear扩展

php开启了register_argc_argv选项（可以通过包含phpinfo.php文件进行查看）

原理

php的pear扩展是一个命令行扩展管理工具，默认的安装路径在/usr/local/lib/php/pearcmd.php，在命令行下可以用pear或php /usr/local/lib/php/pearcmd.php运行（相当于文件包含后利用），虽然不是在web的目录下，但是如果存在文件包含漏洞，我们就可以运行这个命令行工具

我们再来看register_argc_argv选项，在这个选项字段如果选了ON的话，URL中?后面的内容会全部传入至$_SERVER['argv']这个变量内，无论后面的内容是否有等号。

pear会在pearcmd.php获取命令行参数

而pear获取命令行参数的函数Consoles/Getopt.php->readPHPArgv()中

会先尝试$argv变量（这个变量储存在命令行模式下运行php脚本时传入的参数），然后再尝试$_SERVER['argv']变量，$_SERVER['argv']为我们可控的变量，这样，在文件包含的场景下，我们就可以运行pear命令行工具并用GET请求参数控制pear的命令行参数了。

利用

接下来就是寻找可以利用的命令了

现在介绍三种利用手法

为了试验这几种方法我用docker在本地搭建了一个文件包含环境，镜像是php:7.4-apache

config-create

此方法来自于p神博客

此命令的参数和用法如下

就是要我们输入两个参数，一个是绝对路径，还有保存配置文件的文件名

尝试一下使用以下这个命令看下效果

img

可以看见我们已经写入一个配置文件了，检查下内容

img

第一个参数的内容会被写入文件，如果我们将第一个参数换成文件内容的话我们就可以写入可包含的文件了

payload

这边要用burp传参，不然的话直接网站传参，像‘<’这种符号会被转化成为url编码，就不能执行一句话木马了

img

包含结果：

img

我们来看下写入的文件

img

可以看见/&file=/usr/local/lib/php/pearcmd.php&/<?=@eval($_POST['cmd']);?>整个被作为参数传入了命令行，但是get参数file被正常解析了，这是因为前面说过的即使URL中存在等号，问号后的内容一样会被传入$_SERVER['argv']