搜索

[2273] 2021-06-24_从qwbwebshell题深入快速析构

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-06-24_从qwbwebshell题深入快速析构 从 q w b   w e b s h e l l   题 深 入 快 速 析 构 原 创   R 1 c h m 0 n d   E D I 安 全   2 0 2 1 - 0 6 - 2 4 点 击 上 方 “ 蓝 字 ” ， 关 注 更 多 精 彩 从 q w b   w e b s h e l l   题 深 入 快 速 析 构 无 奈 自 己 太 菜 ， 当 时 一 直 卡 在 怎 么 绕 过 正 则 这 块 ， 本 来 在 队 里 师 傅 给 出 解 法 的 情 况 下 不 想 多 纠 结 这 个 题 的 ， 但 是 后 来 在 看 一 篇 c t f 的 c h e a t s h e e t 的 时 候 ， 发 现 了 f a s t   d e s t r u c t 这 个 概 念 。 引 起 我 兴 趣 的 是 ， 之 前 在 国 外 比 赛 一 道 反 序 列 化 题 的 w p 里 ， 看 到 了 f a s t   s e r i a l i z a t i o n ， 当 时 那 个 师 傅 的 操 作 也 是 使 用 了 数 组 ， 和 f a s t   d e s t r u c t 类 似 ， 但 是 前 者 在 网 上 是 搜 不 到 的 ， 没 啥 资 料 。 联 想 到 和 这 个 题 相 关 ， 我 就 展 开 了 小 小 的 研 究 。
一 、 什 么 是 f a s t d e s t r u c t ？ ？ 知 识 点 ： 1 、 P H P 中 ， 如 果 单 独 执 行 u n s e r i a l i z e 函 数 进 行 常 规 的 反 序 列 化 ， 那 么 被 反 序 列 化 后 的 整 个 对 象 的 生 命 周 期 就 仅 限 于 这 个 函 数 执 行 的 生 命 周 期 ， 当 这 个 函 数 执 行 完 毕 ， 这 个 类 就 没 了 ， 在 有 析 构 函 数 的 情 况 下 就 会 执 行 它 。 2 、 P H P 中 ， 如 果 用 一 个 变 量 接 住 反 序 列 化 函 数 的 返 回 值 ， 那 么 被 反 序 列 化 的 对 象 其 生 命 周 期 就 会 变 长 ， 由 于 它 一 直 都 存 在 于 这 个 变 量 当 中 ， 那 么 在 P H P 脚 本 走 完 流 程 之 后 ， 这 个 对 象 才 会 被 销 毁 ， 在 有 析 构 函 数 的 情 况 下 就 会 将 其 执 行 。 f a s t   d e s t r u c t   就 是 用 来 解 决 第 二 种 情 况 带 来 的 问 题 的 。 当 需 要 构 造 p o p 链 的 时 候 ， 反 序 列 化 后 的 对 象 被 变 量 接 住 了 ， 又 要 利 用 析 构 函 数 控 制 P O P 链 的 流 程 ， 这 个 时 候 就 需 要 用 到 快 速 析 构 的 技 巧 。 而 且 ， 大 部 分 都 是 在 类 和 类 之 间 各 有 分 工 ， 在 内 部 联 系 不 是 很 紧 密 的 情 况 下 使 用 这 种 技 巧 。 举 例 ： 使 用 索 引 相 同 的 两 个 类 ， 后 一 个 类 被 反 序 列 化 时 ， 前 一 个 类 会 被 销 毁 ， 从 而 调 用 析 构 函 数 （ 如 果 有 的 话 ） 。 那 么 整 个 流 程 如 下 : c l a s s 1 被 反 序 列 化 c l a s s 2 被 反 序 列 化 c l a s s 3 被 反 序 列 化 c l a s s 4 被 反 序 列 化 ， c l a s s 2 被 销 毁 c l a s s 5 被 反 序 列 化 ， c l a s s 3 被 销 毁 注 意 ， 使 用 这 种 技 巧 得 到 的 数 组 序 列 化 字 符 串 ， 其 元 素 值 必 须 依 然 是 括 号 内 元 素 的 个 数 ， 只 是 对 应 的 k e y 要 改 一 下 。 加 之 ， 经 过 测 试 ， “ 后 一 个 类 ”   可 以 是 一 个 无 用 的 对 象 ， 包 括 数 组 。 二 、 对 f a s t   d e s t r u c t 技 巧 的 扩 展 研 究 问 了 其 他 队 的 一 个 师 傅 ， 他 是 用 类 似 绕 过 _ _ w a k e u p 函 数 的 方 法 做 的 ， 就 是 修 改 序 列 化 字 符 串 中 的 属 性 个 数 ， 我 以 为 这 种 方 法 可 以 绕 过 题 目 中 的 m y c l a s s 正 则 检 查 ， 结 果 发 现 这 样 会 提 前 执 行 析 构 函 数 。 我 认 为 这 是 针 对 单 个 类 的 f a s t   d e s t r u c t 技 巧 。 还 有 一 个 方 法 ， 是 队 里 的 师 傅 测 出 来 的 ， 举 例 ： 这 种 方 法 也 能 导 致 析 构 函 数 在 u n s e r i a l i z e 函 数 执 行 完 毕 之 后 立 即 执 行 ， 而 不 会 等 到 脚 本 流 程 走 完 。 再 续 ， 就 着 之 前 那 个 国 外 比 赛 得 到 的 一 个 方 法 再 试 一 手 ， 又 发 现 了 新 的 f a s t   d e s t r u c t 姿 势 。 就 是 去 掉 序 列 化 字 符 串 最 后 的 一 个 大 括 号 。 原 文 好 像 是 ： " I t ' s   a   q u i r k " 这 里 我 直 接 用 本 次 强 网 杯 这 个 题 来 演 示 这 个 例 子 ， 注 意 f l a g 文 件 是 我 本 地 自 己 创 建 的 ， 自 己 编 的 一 个 f l a g 。 $ u n s e r   =   s e r i a l i z e ( n e w   a r r a y ( 0   = >   n e w   c l a s s 1 ( ) , 1   = >   n e w   c l a s s 2 ( ) , 2   = >   n e w   c l a s s 3 ( ) , 1   = >   n e w   c l a s s 4 ( ) , 2   = >   n e w   c l a s s 5 ( ) ) ) ; $ t a r g e t   =   u n s e r i a l i z e ( $ u n s e r ) ; $ t e s t   =   s e r i a l i z e ( n e w   a r r r a y ( n e w   c l a s s 1 ( ) ) ) ; / / 得 到   a : 1 : { i : 0 ; O : 6 : " c l a s s 1 " : 0 : { } } / / 然 后 改 成 a : x x x : { i : 0 ; O : 6 : " c l a s s 1 " : 0 : { } } ， x x x 为 任 意 数 字
f l a g 字 符 串 编 得 很 逼 真 ， 当 然 是 为 了 自 己 Y Y （ 笑 出 了 声 ） 具 体 测 试 代 码 和 运 行 结 果 截 图 如 下 ： < ? p h p c l a s s   m y c l a s s {         p u b l i c   $ h e l l o ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 $ t h i s - > h e l l o   =   n e w   H e l l o ( ) ;         } } c l a s s   H e l l o {         p u b l i c   $ q w b ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 $ t h i s - > q w b   =   " f l a g " ;         } } $ s e r i a l   =   s e r i a l i z e ( n e w   m y c l a s s ( ) ) ; $ s e r i a l   =   s t r _ r e p l a c e ( " ; } } " , " ; } " , $ s e r i a l ) ; e c h o   $ s e r i a l . P H P _ E O L ; e c h o   u r l e n c o d e ( $ s e r i a l ) ; ? > < ? p h p c l a s s   t e s t {     p u b l i c   $ n a m e ;     p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( $ n a m e ) {         $ t h i s - > n a m e   =   $ n a m e ;     }         p u b l i c   f u n c t i o n   _ _ d e s t r u c t ( ) {                 e c h o   $ t h i s - > n a m e . "   析 构 " . P H P _ E O L ;         } } c l a s s   t e s t 1 {         p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) {         e c h o   " 起 飞 " . P H P _ E O L ;     } } $ n o r m a l _ s e r i a l i z a t i o n   =   s e r i a l i z e ( n e w   t e s t ( " 伞 兵 一 号 " ) ) ;
$ n o r m a l _ s e r i a l i z a t i o n   =   s e r i a l i z e ( n e w   t e s t ( " 伞 兵 一 号 " ) ) ; $ n o r m a l _ b y p a s s   =   s t r _ r e p l a c e ( " 1 : { " , " 2 : { " , $ n o r m a l _ s e r i a l i z a t i o n ) ; e c h o   " 改 属 性 个 数 ： " . $ n o r m a l _ b y p a s s . P H P _ E O L ; $ s i n g l e _ f a s t _ s e r i a l i z a t i o n   =   s e r i a l i z e ( a r r a y ( n e w   t e s t ( " 伞 兵 二 号 " ) ) ) ; $ s i n g l e _ f a s t _ b y p a s s   =   s t r _ r e p l a c e ( " a : 1 " , " a : 2 " , $ s i n g l e _ f a s t _ s e r i a l i z a t i o n ) ; e c h o   " 数 组 里 只 有 一 个 类 的 f a s t   d e s t r u c t ： " . $ s i n g l e _ f a s t _ b y p a s s . P H P _ E O L ; $ f a s t _ d e s t r u c t _ s e r i a l i z a t i o n   =   s e r i a l i z e ( a r r a y ( n e w   t e s t ( " 伞 兵 三 号 " ) , n e w   t e s t 1 ( ) ) ) ; $ m u l t i _ f a s t _ d e s t r u c t   =   s t r _ r e p l a c e ( " i : 1 " , " i : 0 " , $ f a s t _ d e s t r u c t _ s e r i a l i z a t i o n ) ; e c h o   " 数 组 里 有 多 个 类 的 f a s t   d e s t r u c t ： " . $ m u l t i _ f a s t _ d e s t r u c t . P H P _ E O L ; e c h o   " - - - - - - - - - - - - 提 前 执 行 析 构 函 数 - - - - - - - - - - - " . P H P _ E O L ; e c h o   " n o r m a l : " . P H P _ E O L ; $ n o r m a l   =   u n s e r i a l i z e ( $ n o r m a l _ b y p a s s ) ; e c h o   " n o r m a l   e x i t e d " . P H P _ E O L ; e c h o   " - - - - - - - - - - - - - - - - - - - - - - - - - " . P H P _ E O L ; e c h o   " 单 个 元 素 数 组 的 f a s t   d e s t r u c t : " . P H P _ E O L ; $ f a s t _ d e s t r u c t   =   u n s e r i a l i z e ( $ s i n g l e _ f a s t _ b y p a s s ) ; e c h o   " s i n g l e   d e s t r u c t   e x i t e d " . P H P _ E O L ; e c h o   " - - - - - - - - - - - - - - - - - - - - - - - - - " . P H P _ E O L ; e c h o   " 多 个 类 的 f a s t   d e s t r u c t : " . P H P _ E O L ; $ f a s t _ d e s t r u c t   =   u n s e r i a l i z e ( $ m u l t i _ f a s t _ d e s t r u c t ) ; e c h o   " f a s t   d e s t r u c t   e x i t e d " . P H P _ E O L ; e c h o   " - - - - - - - - - - - - - - - 运 行 到 脚 本 结 束 才 执 行 析 构 - - - - - - - - - - - - - - " . P H P _ E O L ; $ n o r m a l   =   u n s e r i a l i z e ( $ n o r m a l _ s e r i a l i z a t i o n ) ; e c h o   " n o r m a l   e x i t e d " . P H P _ E O L ; e c h o   " - - - - - - - - - - - - - - - - - - - - - - - - - " . P H P _ E O L ; e c h o   " 含 两 个 类 元 素 的 数 组 ： " . P H P _ E O L ; $ f a s t _ d e s t r u c t   =   u n s e r i a l i z e ( $ f a s t _ d e s t r u c t _ s e r i a l i z a t i o n ) ; e c h o   " e x i t e d " . P H P _ E O L ; e c h o   " - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - " . P H P _ E O L ; ? >

E N D 更 多 C T F - W r i e t u p   请 关 注 E D I 安 全 ！ E D I 安 全 的 C T F 战 队 经 常 参 与 各 大 C T F 比 赛 ， 了 解 C T F 赛 事 ， 我 们 在 为 打 造 安 全 圈 好 的 技 术 氛 围 而 努 力 ， 这 里 绝 对 是 你 学 习 技 术 的 好 地 方 。 这 里 门 槛 不 是 很 高 ， 但 师 傅 们 经 验 丰 富 ， 可 以 带 着 你 一 起 从 基 础 开 始 ， 只 要 你 有 持 之 以 恒 努 力 的 决 心 ， 下 一 个 C T F 大 牛 就 是 你 。 欢 迎 各 位 大 佬 小 白 入 驻 ， 大 家 一 起 打 C T F ， 一 起 进 步 。                                           扫 码 关 注 了 解 更 多
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理