ssrf,csrf漏洞复现

印象深刻的csrf利用:

在phpwind下:漏洞点(但是都是在后台的漏洞)

代码追:

task到unserialize,然后重写PwDelayRun的构造函数,给callback和args赋值,然后当程序执行结束,进入垃圾回收时,(进行反序列化)__destruct就会执行,此时会将call和args的恶意代码执行。

找到__destruct的位置:

php 复制代码
class PwDelayRun {
    private static $instance = null;
    private $_callback = array();
    private $_args = array();
    private function __construct() {
    }
    public function __destruct() {
        foreach (this->_callback as key => $value) {
            call_user_func_array(value, this->_args[$key]);
        }
    }
    ...
}

但是在执行时并没有加载PwDelayRun这个类:

进行反序列化的时候,如果发现不存在的类,就会传入注册好的spl_autoload函数中:

可以发现spl_autoload_register函数的调用:(最后会走入一个include)

php 复制代码
include className . '.' . self::_extensions;

命名空间中可以包含\,而在windows下,\也可以作为路径的分隔符。(由此可见,这个漏洞仅限于Windows服务器)整个phpwind全局是没有使用命名空间的,也就是默认命名空间为\,但现在的PwDelayRun类所在的命名空间并不在\下。

所以我们需要生成src\library\utility\PwDelayRun类和\PwDelayRun类两个对象,放在一个数组中,在反序列化前者的过程中include目标文件,在反序列化后者的过程中拿到PwDelayRun对象。

但是在数组传进去的过程中:会被其拦住

php 复制代码
public function beforeAction($handlerAdapter) {
    parent::beforeAction($handlerAdapter);
    var = unserialize(this->getInput('var'));
    if (is_array($var)) {
        this->setOutput(var, 'condition');
    }
}

在php源码层,对象是用数组来模拟的,所以我们只需要用一个对象代替数组即可。

最后加上csrf:

漏洞本身为后台漏洞,但漏洞又有一个特点,那就是其为GET方法,只需要一个URL即可触发。

php 复制代码
[img]http://127.0.0.1/web.php[/img]
相关推荐
CodeWithMe12 小时前
【Note】《深入理解Linux内核》 第十九章:深入理解 Linux 进程通信机制
linux·运维·php
wkj00114 小时前
php7.4使用 new DateTime;报错 Class DateTime not found
php
亿坊电商17 小时前
VUE混合开发,选哪个PHP框架最顺手?
前端·vue.js·php
量子联盟1 天前
原创-基于 PHP 和 MySQL 的证书管理系统,免费开源
开发语言·mysql·php
不吃肉的羊2 天前
PHP设置文件上传最大值
后端·php
用户9272472502193 天前
PHP+JS+CSS+JSON 单页新闻系统实现方案
php
Ashlee_code3 天前
什么是Web3?金融解决方案
开发语言·金融·架构·eclipse·web3·区块链·php
Sally璐璐3 天前
IPSAN 共享存储详解:架构、优化与落地实践指南
开发语言·php
程序猿阿伟3 天前
《声音的变形记:Web Audio API的实时特效法则》
开发语言·前端·php
Clownseven3 天前
Shell 脚本实战指南:内网 ARP 洪泛监控与飞书/邮件自动告警
网络·php·飞书