Магия чисел. Обфусцируем веб-шелл на PHP при помощи математических функций

Идея метода для обхо­да филь­тров кода на PHP воз­никла у меня еще дав­но, но под­сказ­ка под­верну­лась недав­но. При­мер­но год назад, читая статью про оче­ред­ные уяз­вимос­ти в обра­зова­тель­ной плат­форме Moodle, я нат­кнул­ся на статью, в которой иссле­дова­телям приш­лось при­думать, как выпол­нить код без квад­ратных ско­бок и тек­ста, исполь­зуя толь­ко матема­тичес­кие фор­мулы. У метода, пред­ложен­ного авто­рами ори­гиналь­ной статьи, были огра­ниче­ния, поэто­му я нем­ного изме­нил под­ход и дорабо­тал его.

Да­вай сна­чала раз­берем ори­гиналь­ный метод, а даль­ше я покажу свою доработ­ку.

Исходный метод

Сра­зу ого­ворюсь, что этот метод был соз­дан спе­циаль­но для экс­плу­ата­ции Moodle, име­ет ряд недос­татков и огра­ниче­ний и не рас­счи­тан на более гиб­кое при­мене­ние где‑то еще. Моя доработ­ка, которую я покажу чуть поз­же, тоже неидеаль­на, но зна­читель­но рас­ширя­ет воз­можнос­ти.

Да­вай фор­мализу­ем задачу: нуж­но добить­ся RCE, исполь­зуя толь­ко сим­волы, которые встре­чают­ся в фор­мулах. Это авто­мати­чес­ки зап­реща­ет квад­ратные скоб­ки и подоб­ные хаки, которые обыч­но при­меня­ют в таких слу­чаях.

Ка­жет­ся, буд­то без спец­симво­лов получить выпол­нение кода невоз­можно, но для интер­пре­тиру­емых язы­ков это не сов­сем так. В PHP есть воз­можность задать имя фун­кции в виде выраже­ния, при­чем любого. Понять, как это работа­ет, мож­но на прос­том при­мере:

Как вид­но из при­мера, имя фун­кции printf кодиру­ется в Base64, а если рас­кодиро­вать его обратно и выз­вать стро­ку с аргу­мен­том, толь­ко что рас­кодиро­ван­ная стро­ка будет интер­пре­тиро­вана как фун­кция, которая тут же будет выпол­нена. Для вызова фун­кции мож­но исполь­зовать любой спо­соб получе­ния стро­ки, а интер­пре­татор PHP сам най­дет и выпол­нит нуж­ную фун­кцию.

Здесь важ­но, что это дол­жна быть имен­но фун­кция, то есть eval или print таким спо­собом выз­вать не получит­ся, потому что это спе­циаль­ные язы­ковые конс­трук­ции, а не фун­кции. Такие конс­трук­ции PHP обра­баты­вает перед собс­твен­но выпол­нени­ем кода. Если поп­робовать про­вер­нуть такой трюк с eval, то получим ошиб­ку:

По­читать про дру­гие конс­трук­ции язы­ка мож­но в статье Махафу­зура Рахама­на, а сей­час нам нуж­но прос­то усво­ить, что вызывать таким спо­собом допус­тимо толь­ко фун­кции.

Плав­но перей­дем ко вто­рой задаче — избавле­нию от замет­ных и оче­вид­но немате­мати­чес­ких фун­кций вро­де base64_decode. По усло­вию задачи исполь­зовать мож­но толь­ко матема­тичес­кие фун­кции, а, как извес­тно, при матема­тичес­ких вычис­лени­ях обыч­но получа­ются чис­ла.

Вто­рой трюк зак­люча­ется в том, что­бы пос­ле опе­раций с чис­лами получить стро­ку. Для это­го в PHP исполь­зует­ся опе­ратор ., который может быть как десятич­ной точ­кой в чис­ле, так и опе­рато­ром кон­катена­ции. Что­бы извлечь из чис­ла стро­ку, нуж­но сна­чала получить любую дру­гую стро­ку. В ори­гиналь­ной статье авто­ры исполь­зуют acos(2), который даст NAN, так как это выраже­ние невоз­можно вычис­лить. Давай поп­робу­ем:

По­лучил­ся double, а нуж­но string. Самый прос­той спо­соб — кон­катена­ция. При кон­катена­ции чего угод­но даже с пус­той стро­кой получит­ся стро­ка, а мы сло­жим два чис­ла‑стро­ки NAN:

При кон­катена­ции двух acos(2) получа­ется стро­ка NANNAN. Даль­ше мож­но соб­рать жела­емую стро­ку, исполь­зуя опе­рацию XOR: