Статья Обфусцируем веб-шелл на PHP при помощи математических функций

В целях защиты от внедрения кода для интерпретируемых языков используются фильтры, которые указывают, чего в пользовательском вводе быть не должно. Правильно, конечно, вообще не исполнять пользовательский ввод, но в случаях, когда это необходимо, без фильтров никуда. Сегодня я покажу новый способ обхода фильтров в PHP, и мы вместе поупражняемся в ненормальном программировании.
Идея метода для обхода фильтров кода на PHP возникла у меня еще давно, но подсказка подвернулась недавно. Примерно год назад, читая статью про очередные уязвимости в образовательной платформе Moodle, я наткнулся на статью, в которой исследователям пришлось придумать, как выполнить код без квадратных скобок и текста, используя только математические формулы. У метода, предложенного авторами оригинальной статьи, были ограничения, поэтому я немного изменил подход и доработал его.

Давай сначала разберем оригинальный метод, а дальше я покажу свою доработку.

www​

Оригинальный метод опубликован его авторами в их Для просмотра ссылки Войди или Зарегистрируйся и относится к уязвимости Для просмотра ссылки Войди или Зарегистрируйся.

warning​

Статья имеет ознакомительный характер и предназначена для специалистов по безопасности, проводящих тестирование в рамках контракта. Автор и редакция не несут ответственности за любой вред, причиненный с применением изложенной информации. Распространение вредоносных программ, нарушение работы систем и нарушение тайны переписки преследуются по закону.

Нажмите для раскрытия...

Исходный метод​

Сразу оговорюсь, что этот метод был создан специально для эксплуатации Moodle, имеет ряд недостатков и ограничений и не рассчитан на более гибкое применение где‑то еще. Моя доработка, которую я покажу чуть позже, тоже неидеальна, но значительно расширяет возможности.

Давай формализуем задачу: нужно добиться RCE, используя только символы, которые встречаются в формулах. Это автоматически запрещает квадратные скобки и подобные хаки, которые обычно применяют в таких случаях.

Кажется, будто без спецсимволов получить выполнение кода невозможно, но для интерпретируемых языков это не совсем так. В PHP есть возможность задать имя функции в виде выражения, причем любого. Понять, как это работает, можно на простом примере:

Как видно из примера, имя функции printf кодируется в Base64, а если раскодировать его обратно и вызвать строку с аргументом, только что раскодированная строка будет интерпретирована как функция, которая тут же будет выполнена. Для вызова функции можно использовать любой способ получения строки, а интерпретатор PHP сам найдет и выполнит нужную функцию.

Здесь важно, что это должна быть именно функция, то есть eval или print таким способом вызвать не получится, потому что это специальные языковые конструкции, а не функции. Такие конструкции PHP обрабатывает перед собственно выполнением кода. Если попробовать провернуть такой трюк с eval, то получим ошибку:


Почитать про другие конструкции языка можно в Для просмотра ссылки Войди или Зарегистрируйся Махафузура Рахамана, а сейчас нам нужно просто усвоить, что вызывать таким способом допустимо только функции.

Плавно перейдем ко второй задаче — избавлению от заметных и очевидно нематематических функций вроде base64_decode. По условию задачи использовать можно только математические функции, а, как известно, при математических вычислениях обычно получаются числа.

Второй трюк заключается в том, чтобы после операций с числами получить строку. Для этого в PHP используется оператор ., который может быть как десятичной точкой в числе, так и оператором конкатенации. Чтобы извлечь из числа строку, нужно сначала получить любую другую строку. В оригинальной статье авторы используют acos(2), который даст NAN, так как это выражение невозможно вычислить. Давай попробуем:

Получился double, а нужно string. Самый простой способ — конкатенация. При конкатенации чего угодно даже с пустой строкой получится строка, а мы сложим два числа‑строки NAN:


При конкатенации двух acos(2) получается строка NANNAN. Дальше можно собрать желаемую строку, используя операцию XOR:

(acos(2) . 1) ^ (0 . 0 . 0) ^ (1 . 1 . 1)
В первых скобках путем сложения NAN и 1 делаем строку NAN1, после чего применяем XOR на следующие выражения в скобках. Если выполнить код в скобках, то перед XOR мы получим выражение, как на рисунке ниже.

Для просмотра ссылки Войди или Зарегистрируйся
Дальше над каждым символом будет проведена побитовая операция исключающего ИЛИ (XOR) с соответствующим символом следующей строки. Хоть в первой строке и четыре символа, когда во всех остальных всего три, это не проблема — лишний символ откинет сам PHP.

XOR первого символа
После всех операций XOR в первом символе получится буква О.

Полная цепочка XOR

Используя этот метод, можно получить нужное слово, но, как оказалось, не любое. Работает этот трюк только для заглавных английских букв, так как менять верхние биты таким образом нельзя.

Это накладывает серьезное ограничение в том, что аргументы функции закодировать таким методом не получится, ведь они регистрозависимы, а еще недоступны цифры в именах функций (нельзя вызвать, например, base64_decode или base64_encode).

Такое ограничение сильно мешает выполнить полноценный код вроде system(base64_decode($_POST['smth'])) или file_put_contents("file.txt", "<?php ... >?");, но мне удалось доработать метод и исправить эти фатальные недостатки, чтобы можно было работать с нижним регистром и цифрами. И сейчас я расскажу, как он работает.

Доработанный метод​

Новый метод использует те же принципы создания текста: конкатенацию и получение NAN и INF из математических функций. Но я переработал конкатенацию NAN, поскольку каждый раз генерировать нужное количество NAN не очень эффективно. Теперь для получения слова конкатенируются буквы, а не всё делается из начального набора NAN. Каждая буква теперь получается отдельно, что упрощает метод и добавляет возможность работы не только с буквами верхнего регистра, но и с буквами нижнего, и даже с цифрами.

www​

Для просмотра ссылки Войди или Зарегистрируйся
Первым делом вся строка разбивается на символы и вычисляется итоговый XOR, который нужно получить из NAN. Сделал я это, используя минус, чтобы добавить дополнительный символ в набор. Я также экспериментировал с плюсом, но PHP его не выводит, то есть если написать +1, то получится просто 1 и ничего не изменится. Одного минуса хватит, чтобы работать с верхним и нижним регистром букв.

Еще один интересный момент — получение цифр. У меня не вышло получить цифру операцией XOR с другими цифрами, но тут мне пригодилось базовое свойство XOR (x ^ a ^ a = x): если целевой символ — цифра, я просто проделываю с ней XOR дважды с одной цифрой. Для букв же после вычисления вызывается функция генерации символов, в которой перебором подбираются символы, чтобы из исходных битов получить нужные нам.

Для полной ясности давай по шагам посчитаем одну из строк, как я показывал для исходного метода. Если запустить скрипт кодирования для команды system, ты получишь следующий вывод:


Я оставил исходное решение в виде конкатенации двух acos(2) для получения строки NANNAN. Оператор конкатенации в PHP имеет наивысший приоритет, что и используется дальше: первым делом произойдет склейка строк, и получится следующее выражение:


Теперь, после конкатенации, можно перейти к исключающему ИЛИ. В силу особенностей PHP лишние символы будут отброшены, так что изначальное количество строк NAN становится неважным. Таким образом, в скобках вычисляется следующее выражение:

(N)1001110 ^ (0)110000 ^ (4)110100 ^ (9)111001
Если преобразовать полученное значение в символ, получится буква s!

> chr(0b1001110^0b110000^0b110100^0b111001)

Нажмите для раскрытия...

Нажмите для раскрытия...

's'
Все остальные символы кодируются таким же образом и потом склеиваются вместе. Давай закодируем простой веб‑шелл с использованием system и printf:

<?php printf(system($_GET['k']));
Поскольку мой скрипт только кодирует текст и не понимает семантику PHP, придется закодировать отдельные части вручную, после чего собрать пейлоад:


Получается скрипт, который выглядит как формула, если опустить палевный $_GET.

Обфусцированный пейлоад работает!

Ограничения​

Я не смог устранить всех ограничений исходного метода, но, возможно, это сможешь сделать ты! В моем варианте нет поддержки спецсимволов и букв нелатинских алфавитов. Еще для получения пустой строки мне пришлось использовать разные конструкции, которые добавили новые символы в пейлоад, в частности =, !, > и NULL. В зависимости от своего случая ты можешь использовать разные способы получения пустой строки.

Тесты​

Для тестов воспользуемся VirusTotal: некоторые антивирусы работают с PHP-файлами и могут дать хоть какую‑то оценку того, поможет ли этот метод обойти базовые проверки. Я сделал два файла: один с традиционным веб‑шеллом, а второй — обфусцированный по моему методу. Вот обычный веб‑шелл, если ты вдруг его забыл:

<?php printf(system($_GET['c']));
Детекты исходного файла
Скрипт без детектов
Классический веб‑шелл детектируется несколькими антивирусами, тогда как обфусцированная версия не ловится вообще.

Было бы здорово доработать обфускатор, чтобы автоматически парсить и обфусцировать PHP-файлы. Это позволило бы собирать полноценные сложные веб‑шеллы на чистой математике, что до сих пор было невозможно.

Еще можно закодировать свой шелл в Base64 и обфусцировать уже закодированную версию, которую потом можно будет вставлять в другие функции, не используя кавычки:


Теперь эту строку можно использовать с base64_decode без кавычек:


Даже сам base64_decode тоже можно закодировать! Смотри:


Если запустить такой код — получаем нашу строку:


Готово!