* Travaillez-vous dans une **entreprise de cybersécurité** ? Voulez-vous voir votre **entreprise annoncée dans HackTricks** ? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF** ? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !
* Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFT**](https://opensea.io/collection/the-peass-family)
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
* **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Partagez vos astuces de piratage en soumettant des PR au** [**repo hacktricks**](https://github.com/carlospolop/hacktricks) **et au** [**repo hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
La fonction `preg_replace` est une fonction PHP qui permet de remplacer des occurrences d'une expression régulière dans une chaîne de caractères par une autre chaîne de caractères. Cette fonction est souvent utilisée en conjonction avec des expressions régulières pour effectuer des opérations de recherche et de remplacement avancées sur des chaînes de caractères.
**pcntl\_exec** - Exécute un programme (par défaut dans les versions modernes et moins modernes de PHP, vous devez charger le module `pcntl.so` pour utiliser cette fonction)
**mail / mb\_send\_mail** - Cette fonction est utilisée pour envoyer des mails, mais elle peut également être utilisée pour injecter des commandes arbitraires dans le paramètre `$options`. Cela est dû au fait que la fonction **php `mail`** appelle généralement le binaire `sendmail` du système et permet de **mettre des options supplémentaires**. Cependant, vous ne pourrez pas voir la sortie de la commande exécutée, il est donc recommandé de créer un script shell qui écrit la sortie dans un fichier, de l'exécuter en utilisant la fonction mail, et d'afficher la sortie :
**dl** - Cette fonction peut être utilisée pour charger dynamiquement une extension PHP. Cette fonction ne sera pas toujours présente, vous devez donc vérifier si elle est disponible avant d'essayer de l'exploiter. Lisez [cette page pour apprendre comment exploiter cette fonction](disable\_functions-bypass-dl-function.md).
Outre eval, il existe d'autres moyens d'exécuter du code PHP: include/require peut être utilisé pour l'exécution de code à distance sous forme de vulnérabilités d'inclusion de fichier local et d'inclusion de fichier distant.\
**${\<php code>}** - Si votre entrée est reflétée dans une chaîne PHP, elle sera exécutée.\
**Les fonctions désactivées** sont les paramètres qui peuvent être configurés dans les fichiers `.ini` en PHP qui **interdisent** l'utilisation des **fonctions** indiquées. **Open basedir** est le paramètre qui indique à PHP le dossier qu'il peut accéder.\
Le paramètre PHP doit être configuré dans le chemin _/etc/php7/conf.d_ ou similaire.
`open_basedir` configurera les dossiers auxquels PHP peut accéder, vous **ne pourrez pas écrire/lire/exécuter de fichier en dehors** de ces dossiers, mais vous **ne pourrez même pas lister** d'autres répertoires.\
Cependant, si vous êtes capable d'exécuter du code PHP arbitraire, vous pouvez **essayer** le morceau de **code** suivant pour essayer de **contourner** la restriction.
Si vous voulez **en savoir plus sur PHP-FPM et FastCGI**, vous pouvez lire la [première section de cette page](disable\_functions-bypass-php-fpm-fastcgi.md).\
Si **`php-fpm`** est configuré, vous pouvez l'exploiter pour contourner complètement **open\_basedir** :
Notez que la première chose à faire est de trouver où se trouve le **socket unix de php-fpm**. Il est généralement situé sous `/var/run`, vous pouvez donc **utiliser le code précédent pour lister le répertoire et le trouver**.\
Code provenant de [ici](https://balsn.tw/ctf\_writeup/20190323-0ctf\_tctf2019quals/#wallbreaker-easy).
Ces scripts communiqueront avec le **socket Unix de php-fpm** (généralement situé dans /var/run si fpm est utilisé) pour exécuter du code arbitraire. Les paramètres `open_basedir` seront écrasés par l'attribut **PHP\_VALUE** qui est envoyé.\
Notez comment `eval` est utilisé pour exécuter le code PHP que vous envoyez dans le paramètre **cmd**.\
Notez également la **ligne 324 commentée**, vous pouvez la décommenter et la **charge utile se connectera automatiquement à l'URL donnée et exécutera le code PHP** qu'elle contient.\
Accédez simplement à `http://vulnerable.com:1337/l.php?cmd=echo file_get_contents('/etc/passwd');` pour obtenir le contenu du fichier `/etc/passwd`.
Vous pourriez penser que de la même manière que nous avons écrasé la configuration `open_basedir`, nous pouvons **écraser `disable_functions`**. Eh bien, essayez-le, mais cela ne fonctionnera pas, apparemment **`disable_functions` ne peut être configuré que dans un fichier de configuration php `.ini`** et les modifications que vous effectuez en utilisant PHP\_VALUE ne seront pas efficaces sur ce paramètre spécifique.
Si vous parvenez à exécuter du code PHP à l'intérieur d'une machine, vous voudrez probablement passer au niveau suivant et **exécuter des commandes système arbitraires**. Dans cette situation, il est courant de découvrir que la plupart ou toutes les **fonctions PHP** qui permettent d'**exécuter des commandes système ont été désactivées** dans **`disable_functions`.**\
Voyons donc comment vous pouvez contourner cette restriction (si vous le pouvez)
Vous pouvez utiliser l'outil [https://github.com/teambi0s/dfunc-bypasser](https://github.com/teambi0s/dfunc-bypasser) et il vous indiquera quelle fonction (le cas échéant) vous pouvez utiliser pour **contourner****`disable_functions`**.
Revenez simplement au début de cette page et **vérifiez si l'une des fonctions d'exécution de commandes n'est pas désactivée et disponible dans l'environnement**. Si vous en trouvez une seule, vous pourrez l'utiliser pour exécuter des commandes système arbitraires.
Il est bien connu que certaines fonctions en PHP comme `mail()` vont **exécuter des binaires à l'intérieur du système**. Par conséquent, vous pouvez les abuser en utilisant la variable d'environnement `LD_PRELOAD` pour les faire charger une bibliothèque arbitraire qui peut exécuter n'importe quoi.
2.`mb_send_mail` : Si votre système a le module `php-mbstring` installé, cette fonction peut être utilisée pour contourner les `disable_functions` de PHP.
3.`imap_mail` : Si votre système a le module `php-imap` installé, cette fonction peut également être utilisée pour contourner les `disable_functions` de PHP.
4.`libvirt_connect` : Si votre système a le module `php-libvirt-php` installé, cette fonction peut également être utilisée pour contourner les `disable_functions`.
5.`gnupg_init` : Si votre système a le module `php-gnupg` installé, cette fonction peut également être utilisée pour contourner les `disable_functions`.
6.`new imagick()`: Vous pouvez [**trouver ici un article**](https://blog.bi0s.in/2019/10/23/Web/BSidesDelhi19-evalme/) pour apprendre comment abuser de cette classe.
Vous pouvez trouver [**ici**](https://github.com/tarunkant/fuzzphunc/blob/master/lazyFuzzer.py) le script de fuzzing qui a été utilisé pour trouver ces fonctions.
Pour exploiter cette mauvaise configuration, vous pouvez utiliser [**Chankro**](https://github.com/TarlogicSecurity/Chankro). C'est un outil qui va **générer une exploitation PHP** que vous devez télécharger sur le serveur vulnérable et l'exécuter (y accéder via le web).\
**Chankro** écrira dans le disque de la victime la **bibliothèque et le shell inversé** que vous souhaitez exécuter et utilisera le **truc `LD_PRELOAD` + la fonction PHP `mail()`** pour exécuter le shell inversé.
Notez que pour utiliser **Chankro**, `mail` et `putenv`**ne peuvent pas apparaître dans la liste des `disable_functions`**.\
Dans l'exemple suivant, vous pouvez voir comment **créer une exploitation chankro** pour **arch 64**, qui exécutera `whoami` et enregistrera la sortie dans _/tmp/chankro\_shell.out_, chankro va **écrire la bibliothèque et la charge utile** dans _/tmp_ et l'**exploit final** va s'appeler **bicho.php** (c'est le fichier que vous devez télécharger sur le serveur de la victime):
{% tab title="Fonctions utiles PHP pour contourner disable_functions et open_basedir" %}
# Fonctions utiles PHP pour contourner disable_functions et open_basedir
Lorsque vous êtes en train de pirater un serveur Web, il est possible que vous rencontriez des restrictions telles que `disable_functions` et `open_basedir`. Dans ce cas, vous pouvez utiliser les fonctions PHP suivantes pour contourner ces restrictions.
## Fonctions utiles
### `dl()`
La fonction `dl()` permet de charger dynamiquement une extension PHP. Elle peut être utilisée pour charger une extension qui n'est pas incluse dans la configuration PHP actuelle. Cette fonction est souvent désactivée dans les configurations PHP par défaut, mais elle peut être activée dans certaines configurations.
```php
dl("chemin/vers/extension.so");
```
### `proc_open()`
La fonction `proc_open()` permet d'exécuter une commande et de récupérer les flux de sortie. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
$descriptorspec = array(
0 => array("pipe", "r"), // stdin est une pipe où le processus va lire
1 => array("pipe", "w"), // stdout est une pipe où le processus va écrire
2 => array("pipe", "w") // stderr est une pipe où le processus va écrire
La fonction `popen()` permet d'ouvrir un processus en lecture ou en écriture. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
$handle = popen("commande interdite", "r");
$output = fread($handle, 1024);
pclose($handle);
```
### `system()`
La fonction `system()` permet d'exécuter une commande et d'afficher la sortie. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
system("commande interdite");
```
### `passthru()`
La fonction `passthru()` permet d'exécuter une commande et d'afficher la sortie brute. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
passthru("commande interdite");
```
### `shell_exec()`
La fonction `shell_exec()` permet d'exécuter une commande et de récupérer la sortie. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
$output = shell_exec("commande interdite");
```
### `exec()`
La fonction `exec()` permet d'exécuter une commande et de récupérer la sortie. Elle peut être utilisée pour exécuter des commandes système qui sont normalement interdites par `disable_functions`.
```php
exec("commande interdite", $output);
print_r($output);
```
### `mail()`
La fonction `mail()` permet d'envoyer un e-mail. Elle peut être utilisée pour envoyer des informations sensibles à une adresse e-mail contrôlée par l'attaquant.
La fonction `putenv()` permet de définir une variable d'environnement. Elle peut être utilisée pour contourner `open_basedir` en définissant une nouvelle variable `PATH`.
La fonction `ini_set()` permet de modifier la valeur d'une option de configuration PHP. Elle peut être utilisée pour contourner `disable_functions` en modifiant la valeur de `disable_functions`.
```php
ini_set("disable_functions", "");
```
## Conclusion
Ces fonctions peuvent être utiles pour contourner les restrictions de sécurité lors de l'exploitation d'un serveur Web. Cependant, il est important de noter que leur utilisation peut être détectée par les administrateurs système et peut entraîner des conséquences graves. Il est donc recommandé de les utiliser avec prudence et de les combiner avec d'autres techniques d'évasion.
Si vous constatez que la fonction **mail** est bloquée par des fonctions désactivées, vous pouvez toujours utiliser la fonction **mb\_send\_mail**.\
Plus d'informations sur cette technique et Chankro ici: [https://www.tarlogic.com/en/blog/how-to-bypass-disable\_functions-and-open\_basedir/](https://www.tarlogic.com/en/blog/how-to-bypass-disable\_functions-and-open\_basedir/)
Notez qu'en utilisant **PHP**, vous pouvez **lire et écrire des fichiers, créer des répertoires et modifier les autorisations**.\
Vous pouvez même **dump des bases de données**.\
Peut-être qu'en utilisant **PHP** pour **énumérer** la boîte, vous pouvez trouver un moyen d'escalader les privilèges/exécuter des commandes (par exemple, en lisant une clé ssh privée).
J'ai créé un webshell qui facilite grandement l'exécution de ces actions (notez que la plupart des webshells vous offriront également ces options): [https://github.com/carlospolop/phpwebshelllimited](https://github.com/carlospolop/phpwebshelllimited)
