PHP Deserialization: Phar RCE через Phar::getMetadata()

# Небезопасная десериализация (PHAR-метаданные) ## Сценарий Вы проводите аудит **ОптоТорг** — оптового магазина электроники с B2B-кабинетом на нативном PHP. В кабинете работает фича «Мои инвойсы»: клиент загружает скан-копию, а просмотрщик показывает её содержимое и «структурированные метаданные» — компанию и дату выставления. Разработчик с гордостью рассказал, что просмотрщик умеет распознавать архивный формат PHP и читать из него служебные сведения. Вас пригласили проверить фичу перед подключением платёжного модуля: смущает, что распознавание работает по содержимому файла, а не по расширению, и что в кодовой базе магазина остался служебный класс файлового кэша, чей деструктор выполняет команду оболочки. ## Цель 1. Изучите загрузку и просмотр инвойсов: что просмотрщик делает с файлом помимо чтения содержимого, и найдите класс с деструктором, выполняющим команду. 2. Соберите архив формата PHP, в метаданных которого лежит объект найденного класса с командой, копирующей файл с флагом в доступное для чтения место. 3. Загрузите архив под видом изображения, откройте его просмотрщиком и прочитайте результат работы gadget'а. ## Теория PHAR — архивный формат PHP: в него упаковывают приложение, а в служебных метаданных можно хранить произвольные значения. Формат опознаётся по сигнатуре в теле файла, поэтому переименование архива в изображение ничего не меняет. Ключевое свойство: метаданные хранятся сериализованными, и явное обращение к ним запускает десериализацию — создаются объекты с классами из автозагрузки и автоматически вызываются их магические методы. Если в приложении есть класс, чей деструктор выполняет команду оболочки со значением собственного свойства, задаваемым прямо из сериализованной строки, это готовый gadget: атакующий управляет командой через свойство объекта. **Уязвимый паттерн:** ```php // Просмотрщик явно разбирает метаданные PHAR по пути из запроса: @Phar::loadPhar($fullPath, $alias); $meta = $p->getMetadata(); // метаданные десериализуются автоматически ``` ## Точка входа атаки `POST /invoice/upload` — загрузка файла инвойса; `GET /invoice?file=<имя>` — просмотр с разбором метаданных. * **Обычный пользователь:** `demo` / `demo` * **Объект атаки:** содержимое и имя загружаемого файла, а затем путь, передаваемый просмотрщику * **Признак успеха:** команда gadget'а выполнена, её результат читается через тот же просмотрщик