寒假学web--day10
简介
一些高级的反序列化
phar反序列化
phar类似于java的jar包，将多个php文件合并为独立的压缩包，不用解压就能执行里面的php文件，支持web服务器和命令行
metadata
$phar->setmetadata($h);
metadata可以存放一个类实例，生成phar文件后，会把这个类实例以序列化字符串的形式存放至phar文件内
phar协议
phar://xxx.phar
当使用phar协议加载phar文件时，会自动反序列化这个类的的序列化字符串
生成phar包时，可以往metadata里面放对象，生成后，对象会自动序列化保存到ohar包中，使用phar协议读取phar包时，如果当前脚本识别了这个类，会自动调用这个类的魔术方法
可以触发phar反序列化的函数
include
file_exists
file_get_contents
file_put_contents
require
fileinode
filetime
filesize
is_dir
scandir
highlight_file
通过phar协议包含phar文件，都可以触发phar反序列化
也可以在.user.ini文件里写auto_append_file=phar://xxx.phar
应用
要求：能够写phar包并上传，有可以利用的函数，并能控制协议头，使用phar协议解析，有可以利用的恶意类
首先利用脚本生成phar文件
如果有上传点，上传文件的前半部分可控，后缀有过滤，不能是php,phps,pthmml,ini但是没有禁止phar文件，我们找到大量使用的file_exits等文件读取函数，通过控制phar://头，来使用phar协议来解析phar包，就能自动进行反序列化
session反序列化
tips
php的session存放在文件中，默认位置是/tmp/sess_PHPSESSID
session可以是字符串，数字，也可以是对象，session里面存放对象时，会自动进行序列化，存放的是序列化后的字符串，session里面拿取对象时，会自动进行反序列化，执行对象的魔术方法
session序列化处理器
不同session序列化处理器的处理方式不同
php处理器
通过|分割类和key
u|O:4:"user":2:{s:8:"username";N;s:8:"password";N;}
u表示session的key，后面的表示类
php_serialize处理器
用数组存session的key和类
a:1:{s:1:"u";O:4:"user":2:{s:8:"username";N;s:8:"password";N;}}
应用
如果我们使用php_serialize处理器，并给username赋值
admin|O:4:"user":2:{s:8:"username";N;s:8:"password";N;}
此时session里存放的内容就会变成
a:1:{s:1:"u";O:4:"user":2:{s:8:"username";s:57:"admin|O:4:"user":2:{s:8:"username";N;s:8:"password";N;}";s:8:"password";N;}}
这是虽然没有逃逸出来，但是如果我们换成php处理器，并使用相同的cookie来访问，php从session文件里拿取这个对象时，就会认为|左边的时key，将右边的对象反序列化
这是存取的处理器不一致导致的漏洞
构造pop链并上传
我们分析类，得出读flag的payload
我们可以利用PHP的强制文件上传来上传我们构造的payload，我们可以上传文件上传的进度PHP_SESSION_UPLOAD_PROGRESS
需要写脚本，我们给PHP_SESSION_UPLOAD_PROGRESS上传进度值，123（任意数字），然后上传一个文件，filename为payload，内容随意
前面我们了解到强制上传的文件会存到临时的session文件里，由于开启了session，写进去后，当我们用相同的cookie再去访问时，服务器就会从我们刚刚的session文件里解析我们的payload，就会反序列化里面的内容，从而触发魔法函数