Typecho V1.1反序列化导致代码执行分析

0x00 前言

今天在Seebug的公众号看到了Typecho的一个前台getshell分析的文章，然后自己也想来学习一下。保持对行内的关注，了解最新的漏洞很重要。

0x01 什么是反序列化漏洞

如题所说，这是一个反序列化导致的代码执行。看过我之前文章的人应该不会陌生。PHP在反序列化一个字符串时，相当于激活了之前休眠的一个对象。当在激活的时候，会调用几个魔法方法来进行初始化以及相关操作。而如果魔法方法中存在危险操作，比如数据库操作，文件读写操作，系统命令调用等，那么就有可能会造成相应的漏洞。用户通过可控变量调整系统运行流程。进入到危险函数，从而导致漏洞。

0x02 分析

官方在前两天已经做了修复。现在已经不存在这个漏洞了。我们找到以前的版本进行安装。链接如下：

https://github.com/typecho/typecho/releases/tag/v1.1-15.5.12-beta

在根目录的install.php中我们发现：

我们定位到了漏洞现场。然后问题来了，反序列化是将一个休眠对象(字符串)激活为一个对象。那么我们接下来找到在激活的过程中，有哪些方法可以调用，它们才是利用的关键。我们来搜索这三个方法：

__toString()

__destruct()

__Wakeup()

　　我没有找到wakeup方法，然后destruct方法也不能使用。然后搜索__toString()的时候发现有三处，分别如下：

var\Typecho\Config.php

public function __toString()

{

    return serialize($this->_currentConfig);

}

var\Typecho\Db\Query.php

public function __toString()

    {

        switch ($this->_sqlPreBuild['action']) {

            case Typecho_Db::SELECT:

                return $this->_adapter->parseSelect($this->_sqlPreBuild);

            case Typecho_Db::INSERT:

                return 'INSERT INTO '

                . $this->_sqlPreBuild['table']

                . '(' . implode(' , ', array_keys($this->_sqlPreBuild['rows'])) . ')'

                . ' VALUES '

                . '(' . implode(' , ', array_values($this->_sqlPreBuild['rows'])) . ')'

                . $this->_sqlPreBuild['limit'];

            case Typecho_Db::DELETE:

                return 'DELETE FROM '

                . $this->_sqlPreBuild['table']

                . $this->_sqlPreBuild['where'];

            case Typecho_Db::UPDATE:

                $columns = array();

                if (isset($this->_sqlPreBuild['rows'])) {

                    foreach ($this->_sqlPreBuild['rows'] as $key => $val) {

                        $columns[] = "$key = $val";

                    }

                }

                return 'UPDATE '

                . $this->_sqlPreBuild['table']

                . ' SET ' . implode(' , ', $columns)

                . $this->_sqlPreBuild['where'];

            default:

                return NULL;

        }

    }

\var\Typecho\Feed.php

    public function __toString()

    {

        。。。后边再贴代码

    }

但是一定能用吗？

我们可以看到随后的$config进入了Typecho_Db类的构造方法，我们来跟进：

在第120行的时候，发现传入的参数用来做字符串拼接。这样就会调用__toString()方法了.

然后我们对之前搜索到的方法跟进，发现前两个是没法用的。然后我们重点关注最后一个。这个函数主要的目的是拼接xml文件。然后在整个过程中，并没有直接进入危险函数，所以此时陷入僵局。但是就这样就无解了吗？

0x03 __get()方法的逆袭

__get()方法在调用一个对象不存在的成员变量时候将会调用此方法。可以参考我之前的文章。

那么这样的话我们只要能够找到一个get方法中存在危险操作，这样的话，这个漏洞还是可能的。我们来试试看。

全局来搜索__get()方法，然后在\var\Typecho\Request.php

    public function __get($key)

    {

        return $this->get($key);

    }

我们跟进：

    public function get($key, $default = NULL)

    {

        switch (true) {

            case isset($this->_params[$key]):

                $value = $this->_params[$key];

                break;

            case isset(self::$_httpParams[$key]):

                $value = self::$_httpParams[$key];

                break;

            default:

                $value = $default;

                break;

        }

        $value = !is_array($value) && strlen($value) > 0 ? $value : $default;

        return $this->_applyFilter($value);

    }

在方法的最后调用了_applyFilter()方法，继续跟进：

    private function _applyFilter($value)

    {

        if ($this->_filter) {

            foreach ($this->_filter as $filter) {

                $value = is_array($value) ? array_map($filter, $value) :

                call_user_func($filter, $value); //漏洞现场

            }

            $this->_filter = array();

        }

        return $value;

    }

我们来梳理一下整个逻辑，install.php (反序列化) ==> Db.php (将$config中的参数拿来拼接，调用toString方法) ==> Feed.php (调用一个不存在成员变量，将会调用__get()方法) ==> Request.php (调用get()方法，然后调用_applyFilter()，然后调用call_user_func()导致了代码执行)

0x03 利用方法

完整的利用过程，我们可以看

p0的文章 http://p0sec.net/index.php/archives/114/ 或者

Seebug的公众号 http://mp.weixin.qq.com/s?__biz=MzAxNDY2MTQ2OQ==&mid=2650942666&idx=1&sn=5c84d6d69463a0a430e01dfa68c2d3ab&chksm=80796ef8b70ee7ee8ba5d88feb8d794bee19a55b6e17dff45fcee6ba6ee726fb4e2e029d50bd&scene=0#rd

0x04 思考

这个其实是当时看到122行的时候：

我想这里直接调用了call_user_func()函数，$adapterName我是可控的，我们不直接可以命令执行吗？还要长长的执行链干什么啊？

然后我查了call_user_func()的使用方法：

如果传入的是数组，那么数组中的第一个值是一个类名，第二个是类中的一个方法。但是怎么样第一个值才能是类呢？这个时候我想到了匿名类。在函数式编程中经常会用到匿名函数，匿名类。于是我去查了一下发现在PHP7中加入了匿名类的定义，所以如下代码是可以的：

call_user_func(array(

        new class(){

            public function isAvaliable() {

                echo "Hello, World";

            }

        },

        'isAvaliable'

    )

);

//执行结果

Hello, World

这里不能用的原因在于被之前的$adapterName = 'Typecho_Db_Adapter_' . $adapterName;给打断掉了。如果你用类和字符串做拼接。很明显是不行的。

巴特西

Typecho V1.1反序列化导致代码执行分析

最新文章

热门文章