搜索

[16754] 2021-05-06_痛心的CodeIgniter4.x反序列化POP链挖掘报告

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2021-05-06_痛心的CodeIgniter4.x反序列化POP链挖掘报告 痛 心 的 C o d e I g n i t e r 4 . x 反 序 列 化 P O P 链 挖 掘 报 告 H e i h u 5 7 7   F r e e B u f   2 0 2 1 - 0 5 - 0 6 0 x 0 0   前 言 前 言 C I 框 架 作 为 P H P 国 外 流 行 的 框 架 ， 笔 者 有 幸 的 挖 掘 到 了 它 的 反 序 列 化 P O P 链 ， 其 漏 洞 影 响 版 本 为 4 . * 版 本 。 文 末 有 笔 者 与 该 厂 商 的 一 些 “ 小 故 事 ” 。 0 x 0 1   P O P 链 分 析 链 分 析 当 然 ， 反 序 列 化 漏 洞 需 要 反 序 列 化 操 作 的 支 撑 ， 因 此 ， 笔 者 定 义 了 一 个 触 发 该 反 序 列 化 漏 洞 的 控 制 器 ， 定 义 于 ： / a p p / C o n t r o l l e r s / H o m e . p h p 主 要 内 容 于 : d e s t r u c t 魔 术 方 法 为 反 序 列 化 漏 洞 最 有 效 的 方 法 ， 我 们 可 以 全 局 搜 索 一 下 魔 术 方 法 为 反 序 列 化 漏 洞 最 有 效 的 方 法 ， 我 们 可 以 全 局 搜 索 一 下 d e s t r u c t 魔 术 方 法 的 定 义 。 可 以 看 到 在 / s y s t e m / C a c h e / H a n d l e r s / R e d i s H a n d l e r . p h p 中 的 _ _ d e s t r u c t 魔 术 方 法 中 ， $ t h i s - > r e d i s 非 常 灵 活 ， 它 可 以 是 任 意 类 的 实 例 化 对 象 ， 那 么 我 们 可 以 调 用 任 意 对 象 的 c l o s e ( ) 方 法 。 全 局 搜 索 c l o s e ( ) 方 法 ： < ? p h p   n a m e s p a c e   A p p C o n t r o l l e r s ; c l a s s   H o m e   e x t e n d s   B a s e C o n t r o l l e r {         p u b l i c   f u n c t i o n   i n d e x ( ) {                 u n s e r i a l i z e ( $ _ G E T [ ' a ' ] ) ;         } }
通 过 全 局 搜 索 可 以 看 到 ， 在 / s y s t e m / S e s s i o n / H a n d l e r s / M e m c a c h e d H a n d l e r . p h p 文 件 中 ， 存 在 一 个 c l o s e ( ) 方 法 ， 在 2 6 4 行 的 i s s e t ( $ t h i s - > m e m c a c h e d ) 是 否 存 在 ， 如 果 存 在 ， 则 调 用 $ t h i s - > m e m c a c h e d - > d e l e t e ( $ t h i s - > l o c k K e y ) 方 法 ， 再 次 全 局 搜 索 d e l e t e 方 法 。 通 过 全 局 搜 索 可 以 看 到 ， 在 s y s t e m / M o d e l . p h p 中 定 义 了 d e l e t e 方 法 ， 虽 然 接 收 两 个 参 数 ， 有 幸 的 是 C I 框 架 将 第 二 个 参 数 给 予 了 默 认 参 数 ： $ p u r g e   =   f a l s e 。 在 之 前 的 $ t h i s - > m e m c a c h e d - > d e l e t e ( $ t h i s - > l o c k K e y ) 虽 然 只 传 递 进 来 一 个 参 数 ， 但 是 这 种 写 法 将 无 视 P H P 版 本 号 ， 将 此 代 码 继 续 运 行 下 去 。 9 2 1 行 调 用 了 $ t h i s - > b u i l d e r ( ) 方 法 ， 我 们 看 一 下 b u i l d e r 方 法 的 定 义 。
在 1 1 9 8 的 赋 值 操 作 中 可 以 看 到   $ t a b l e   是 可 控 的 ， 在 1 2 0 6 行 中 进 行 赋 值 $ t h i s - > d b - > t a b l e ( $ t a b l e )   的 返 回 内 容 ， 我 们 注 意 到 在 1 2 0 1 行 进 行 检 测 了 $ t h i s - > d b - > t a b l e 的 所 属 类 ， 如 果 我 们 想 要 代 码 继 续 往 下 执 行 ， 我 们 这 里 只 能 将 $ t h i s - > d b 赋 值 为 B a s e C o n n e c t i o n 的 实 例 化 对 象 。 因 为 在 1 2 0 6 行 有 调 用 B a s e C o n n e c t i o n 的 t a b l e 成 员 方 法 ， 我 们 在   / s y s t e m / D a t a b a s e / B a s e C o n n e c t i o n . p h p 中 查 找 一 下 t a b l e 。 可 以 看 到 9 7 1 行 的 s t r _ r e p l a c e 操 作 ， 当 前 的 类 名 为 B a s e C o n n e c t i o n ， 替 换 后 为 B a s e B u i l d e r 类 ， 随 后 进 行   n e w   B a s e B u i l d e r 操 作 ， 以 $ t a b l e N a m e 以 及 $ t h i s 传 递 进 去 了 ， 需 要 注 意 的 是 ， $ t a b l e N a m e 是 可 控 的 。 找 到   / s y s t e m / D a t a b a s e / B a s e B u i l d e r . p h p   文 件 ， 并 且 搜 索 _ _ c o n s t r u c t 魔 术 方 法 。 如 图 ： 2 7 4 行 将 可 控 的 $ t a b l e N a m e 传 递 进 f r o m 方 法 了 ， 我 们 看 一 下 f r o m 方 法 的 定 义 。 C I 框 架 将 $ f r o m 强 制 转 换 为 a r r a y 类 型 ， 并 且 如 果 找 不 到 “ 逗 号 ” 就 会 将 $ f r o m 传 递 到 $ t h i s - > t r a c k A l i a s e s 方 法 中 。 我 们 看 一 下 t r a c k A l i a s e s 方 法 的 定 义 。
可 以 看 到 t r a c k A l i a s e s 只 会 处 理 “ $ f r o m 为 数 组 、 $ f r o m 存 在 逗 号 、 $ f r o m 存 在 空 格 ” 的 情 况 ， 那 么 该 函 数 我 们 可 以 先 将 其 忽 略 ， 继 续 往 下 审 计 。 可 以 看 到 ， 调 用 $ t h i s - > d b - > p r o t e c t I d e n t i f i e r s 方 法 。 $ t h i s - > d b 为 B a s e C o n n e c t i o n 类 的 实 例 ， 我 们 查 找 B a s e C o n n e c t i o n 下 的 p r o t e c t I d e n t i f i e r s 方 法 。 如 图 ： 其 中 代 码 逻 辑 贴 在 图 中 ， 我 们 继 续 往 下 审 计 即 可 。 我 们 回 到 调 用 处 ， 查 看 一 下 往 下 的 逻 辑 。 注 意 9 2 4 行 调 用 了 B a s e B u i l d e r 下 的 w h e r e I n 方 法 ， 我 们 看 一 下 这 个 方 法 做 了 一 些 什 么 操 作 。
可 以 看 到 $ k e y 再 次 传 入 了 _ w h e r e I n 方 法 ， 我 们 看 一 下 _ w h e r e I n 方 法 都 做 了 一 些 什 么 操 作 。 随 后 直 接 放 入 $ w h e r e I n 这 么 大 的 一 个 数 组 中 ， 充 当 W h e r e 判 断 的 K e y 值 。 那 么 无 疑 这 里 是 存 在 一 个 S Q L 注 入 漏 洞 的 。 我 们 不 着 急 ， 回 到 M o d e l . p h p 继 续 往 下 通 读 。 我 们 把 重 点 放 在 9 5 2 行 调 用 的 B a s e B u i l d e r 下 的 d e l e t e 方 法 ， 如 图 ： 2 8 3 4 行 调 用 了 r e s e t W r i t e 方 法 ， 跟 踪 一 下 看 看 。
调 用 了 $ t h i s - > r e s e t R u n ， 继 续 跟 踪 。 我 们 可 以 看 到 ， 只 是 用 来 设 置 键 值 的 。 那 么 我 们 看 一 下 2 8 3 7 行 的 $ t h i s - > d b - > q u e r y ( $ s q l ,   $ t h i s - > b i n d s ,   f a l s e ) 方 法 。 找 到 B a s e C o n n e c t i o n 下 的 q u e r y 方 法 ， 如 图 ： 继 续 跟 进 i n i t i a l i z e 方 法 ， 如 图 ： 可 以 看 到 ， 调 用 了 $ t h i s - > c o n n e c t ( $ t h i s - > p C o n n e c t ) 方 法 ， 我 们 查 找 一 下 c o n n e c t 方 法 ， 如 图 ：
我 们 可 以 看 到 ， 前 面 存 在 a b s t r a c t 关 键 字 ， 那 么 我 们 全 局 搜 索 一 下 ， e x t e n d s   B a s e C o n n e c t i o n 。 如 图 ： 我 们 打 开 s y s t e m / D a t a b a s e / M y S Q L i / C o n n e c t i o n . p h p 文 件 ， 查 找 c o n n e c t 方 法 ， 如 图 ： 这 里 需 要 注 意 的 是 1 1 8 行 $ t h i s - > s t r i c t O n 以 及 1 4 0 行 $ t h i s - > e n c r y p t 不 要 去 定 义 。 下 面 就 是 我 们 期 待 已 久 的 M y s q l 链 接 操 作 了 。 这 里 可 以 利 用 “ M y S Q L 服 务 端 恶 意 读 取 客 户 端 文 件 漏 洞 ” 来 进 行 任 意 文 件 读 取 。 这 一 系 列 操 作 完 成 之 后 我 们 回 到 $ t h i s - > i n i t i a l i z e ( ) 魔 术 方 法 调 用 处 。 继 续 往 下 审 计 。 实 例 化 C o d e I g n i t e r D a t a b a s e Q u e r y 类 并 调 用 它 下 面 的 g e t Q u e r y ( ) 方 法 。 在 s y s t e m / D a t a b a s e / q u e r y . p h p 找 到 该 类 ， 如 图 ：
可 以 看 到 是 来 解 析 占 位 符 的 。 调 用 了 c o m p i l e B i n d s 方 法 ， 跟 进 查 看 。 跟 进 4 0 4 行 的 m a t c h N a m e d B i n d s 方 法 确 认 。 可 以 从 图 中 看 到 笔 者 的 猜 想 是 没 错 的 。 那 么 我 们 回 到 B a s e C o n n e c t i o n 的 q u e r y 方 法 ， 继 续 观 察 。 可 以 看 到 调 用 了 一 个 s i m p l e Q u e r y 方 法 ， 我 们 跟 进 。
又 传 入 了 e x e c u t e 方 法 ， 再 次 跟 进 ， 如 图 ： 可 以 看 到 又 是 抽 象 方 法 ， 那 么 我 们 看 看 是 谁 继 承 了 B a s e C o n n e c t i o n ， 查 找 ： 跟 进 并 查 找 e x e c u t e 方 法 的 定 义 。 此 时 我 们 可 以 看 到 $ t h i s - > c o n n I D - > q u e r y ( $ t h i s - > p r e p Q u e r y ( $ s q l ) ) ， 其 实 $ t h i s - > c o n n I D 已 经 是 P H P 的 M y s q l i 原 生 类 了 ， 这 里 我 们 需 要 跟 进 p r e p Q u e r y 方 法 ， 看 他 到 底 做 了 一 些 什 么 操 作 。 这 里 $ t h i s - > d e l e t e H a c k 是 可 控 的 ， 我 们 无 视 即 可 ， 那 么 p r e p Q u e r y 方 法 等 同 于 什 么 也 没 干 ， 直 接 带 进 了 M y s q l i : : q u e r y ( )   方 法 ， 根 据 我 们 之 前 审 计 出 的 M o d e l 类 的 p r i m a r y K e y 成 员 属 性 可 以 进 行 S Q L 注 入 （ W H E R E   条 件 处 ） 。 到 这 里 笔 者 就 没 有 再 次 往 下 审 计 了 ， 我 们 的 目 的 只 是   任 意 文 件 读 取 + 发 送 S Q L 语 句 。 反 序 列 化 的 结 果 C I 框 架 是 百 分 百 会 抛 出 异 常 的 ， 如 图 ：
再 往 下 读 下 去 也 没 有 什 么 可 以 利 用 的 价 值 了 。 0 x 0 2   通 过 通 过 C I 定 义 的 函 数 触 发 反 序 列 化 定 义 的 函 数 触 发 反 序 列 化 在 我 们 之 前 分 析 P O P 链 时 ， 我 们 使 用 了 u n s e r i a l i z e 函 数 来 进 行 演 示 ， 那 么 在 C I 框 架 中 是 否 存 在 u n s e r i a l i z e 使 用 不 当 的 问 题 呢 ？ 答 案 是 肯 定 的 。 我 们 看 一 下 C I 框 架 定 义 的 o l d 方 法 ， 如 图 ： 我 们 可 以 看 到 ， 7 8 2 - 7 8 6 行 使 用 “ s t r p o s ( $ v a l u e ,   ' a : ' )   = = =   0   | |   s t r p o s ( $ v a l u e ,   ' s : ' )   = = =   0 ” 来 让 o l d 函 数 反 序 列 化 出 必 须 为 “ 数 组 / 字 符 串 ” ， 但 是 这 种 手 法 是 消 极 的 ， 如 果 我 们 反 序 列 化 的 内 容 为 “ a : 1 : { i : 0 ; O : . . . } ” 这 种 情 况 还 是 可 以 进 入 到 _ _ d e s t r u c t 跳 板 ， 然 后 被 利 用 。 那 么 我 们 看 一 下 o l d 函 数 第 7 6 8 行 与 7 7 0 行 的 逻 辑 。 我 们 看 一 下 S e r v i c e s 类 下 的 r e q u e s t 静 态 方 法 。 我 们 可 以 看 到 ， 该 方 法 返 回 了 I n c o m i n g R e q u e s t 类 的 实 例 ， 那 么 $ v a l u e   =   $ r e q u e s t - > g e t O l d I n p u t ( $ k e y ) ; 也 就 是 调 用 I n c o m i n g R e q u e s t 实 例 下 的 g e t O l d I n p u t 方 法 了 ， 我 们 看 一 下 该 方 法 做 了 一 些 什 么 操 作 。 $ r e q u e s t   =   S e r v i c e s : : r e q u e s t ( ) ; $ v a l u e   =   $ r e q u e s t - > g e t O l d I n p u t ( $ k e y ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理