前言: 上次做了成信大的安询杯第二届CTF比赛,遇到一个tp6的题,给了源码,目的是让通过pop链审计出反序列化漏洞. 这里总结一下tp6的反序列化漏洞的利用. 0x01环境搭建 现在tp新版本的官网不开源了,但是可以用composer构建环境,系统需先安装composer.然后执行命令: composer create-project topthink/think=6.0.x-dev v6.0 cd v6.0php think run 或者可以去github上下载,但是需要改动很多,也可以去c

[安洵杯 2019]iamthinking&&thinkphp6.0反序列化漏洞 刚开始是403,扫描以下目录,扫描到三个目录. [18:06:19] 200 - 1KB - /README.md [18:06:19] 200 - 34B - /.gitignore [18:06:26] 200 - 880KB - /www.zip 通过README可以看到是ThinkPHP6.0. 我们现在只能到index頁面,全局搜索一下unserialize,发现在index.php下存在着反序列化

前言 这几天算是进阶到框架类漏洞的学习了,首当其冲想到是thinkphp,先拿thinkphp6.0.x来学习一下,体验一下寻找pop链的快乐. 在此感谢楷师傅的帮忙~ 环境配置 用composer指令安装: composer create-project topthink/think tp 修改入口Index:/app/controller/index.php <?php namespace app\controller; class Index { public function index

前言 接上文找第二条POP链. 环境配置 同上文 POP链构造 寻找__destruct方法 仍然是寻找__destruct,这次关注AbstractCache.php(/vendor/league/flysystem-cached-adapter/src/Storage/AbstractCache.php): 在抽象类AbstractCache中: public function __destruct() { if (! $this->autosave) { $this->save(); }

在php.ini中存在三项配置项:session.save_path="" --设置session的存储路径session.save_handler="" --设定用户自定义存储函数,如果想使用PHP语言内置会话存储机制之外的可以使用本函数(数据库等方式)session.auto_start boolen --指定会话模块是否在请求开始时启动一个会话,默认为0不启动session.serialize_handler string --定义用来序列化/反序列化的处理器

利用php的序列化和反序列化来做简单的数据本地存储 如下程序可以做为一个工具类 /** * 利用php的序列化和反序列化来做简单的数据本地存储 */ class objectdb { private static $db; //成功返回 objectdb 对象,不需要在外面使用new //目录需要写文件的权限 public function defaultdb($dbname='./default.db') { self::$db = $dbname; if(file_exists($dbnam

前言 phar 是 php 支持的一种伪协议, 在一些文件处理函数的路径参数中使用的话就会触发反序列操作. 利用条件 phar 文件要能够上传到服务器端. 要有可用的魔术方法作为"跳板" (php 反序列化漏洞的 pop 链). 文件操作函数的参数可控,且 : ./.phar 等特殊字符没有被过滤. Demo 测试代码 测试代码如下 upload_file.php <?php if (($_FILES["file"]["type"]==&q

测试环境的过程大概是:构成出来的phar文件,并修改为任意后缀上传至服务器.通过index.php中存在的文件操作函数参数可控,把参数设置为 phar://上传文件名 即可导致命令执行. index.php代码如下 <?php class foo { var $ha = 'echo "ok";'; function __destruct() { eval($this->ha); } } $ka = $_GET['file']; file_exists($ka); 可以看出

Web安全基础2 3.8.文件处理 1)文件上传 一个正常的业务需求,问题在于控制上传合法文件. 防御文件上传 客户端javascript校验(通常校验扩展名) 检查MIME类型 检查内容是否合法 随机文件名* 检查文件扩展名* 隐藏路径* 重写内容(影响效率)imagecreatefromjpeg... 测试方法 客户端javascript校验:在浏览加载文件,但还未点击上传按钮时便弹出对话框,内容如:只允许上传.jpg/.jpeg/.png后缀名的文件,而此时并没有发送数据包,抓包改包可绕过

0x00 前言   入职以来好久没有写过文章了,入职的时间里也和师傅们学到了很多,认识了很多的新朋友.最近因为BlackHat 黑客大会的一个议题,PHP反序列化漏洞利用被挖掘出新的攻击面.这里本着记录学习的目的,有了这篇文章. 0x01 Phar 反序列化   你看到本文,我默认认为你已经对PHP反序列化漏洞原理以及成因有所了解,如果不了解可以参考我之前的文章,这里就不多讲了.根据漏洞的原理,影响PHP反序列化漏洞利用的就一个函数unserialize(),这里所谓新的攻击面就是Phar协议解

之前听漏洞银行的一个女生讲php反序列化.她说了一句.php反序列话找public变量. 导致我以为必须php反序列化.可控的变量必须是public or protected.private私有的变量不可以. 今天测试了一下.private变量也是也可以的. class Test{ private $test; public function __construct($test) { $this->test = $test; } public function __destruct() { ev

序列化与反序列化 序列化用途:方便于对象在网络中的传输和存储 0x01 php反序列化漏洞 在PHP应用中,序列化和反序列化一般用做缓存,比如session缓存,cookie等. 常见的序列化格式: 二进制格式 字节数组 json字符串 xml字符串 序列化就是将对象转换为流,利于储存和传输的格式 反序列化与序列化相反,将流转换为对象 例如:json序列化.XML序列化.二进制序列化.SOAP序列化 而php的序列化和反序列化基本都围绕着 serialize(),unserialize()这两个

笔记里直接复制出来的   1 composer直接获取框架代码   ➜  composer create-project --prefer-dist topthink/think tp5137 ➜  cd tp5137 ➜  vim composer.json # 把"topthink/framework": "5.1.*"改成"topthink/framework": "5.1.37" ➜  composer update

目录 基础知识 __call SoapClient __toString Error Exception 实例化任意类 正文 文章围绕着一个问题,如果在代码审计中有反序列化点,但是在原本的代码中找不到pop链该如何? N1CTF有一个无pop链的反序列化的题目,其中就是找到php内置类来进行反序列化. 回到顶部 基础知识 首先还是来回顾一下序列化中的魔术方法,下面也将以此进行分类来进行研究. 当对象被创建的时候调用:__construct 当对象被销毁的时候调用:__destruct 当对象被当

目录 php反序列化 一.序列化 二.魔术方法 1.构造函数和析构函数 2.__sleep()和__wakeup() 3.__toString() 4.__set(), __get(), __isset(), __unset() 5.其他 三.序列化细节 1.序列的含义 2.public.protected.private下序列化对象的区别 四.反序列化的利用 五.Session序列化问题 六.Phar反序列化 php反序列化 一.序列化 所有php里面的值都可以使用函数serialize()来

原作者:大方子 原文链接:https://blog.csdn.net/nzjdsds/article/details/82703639 0x01 索引 最近在总结php序列化相关的知识,看了好多前辈师傅的文章,决定对四个理解难度递进的序列化思路进行一个复现剖析.包括最近Blackhat议题披露的phar拓展php反序列化漏洞攻击面.前人栽树,后人乘凉,担着前辈师傅们的辅拓前行! 为了让大家进入状态,来一道简单的反序列化小题,新来的表哥们可以先学习一下php序列化和反序列化.顺便安利一下D0g3小

普通的魔法方法 public,private,protected属性序列化后的不同 绕过wakeup session反序列化 phar反序列化 1.普通的魔法方法 __construct() 创建一个新的对象的时候会调用,不过unserialize()时不会被调用 __destruct() 对象销毁的时候被调用 __sleep() 函数serialize()调用的时候首先检查有没有这个函数,如果有则调用.这个函数的作用是删减需要进行序列化操作的的成员属性. <?php class test{ p

2018年 原理一.关于流包装stream wrapper大多数的文件操作允许使用各种URL协议去访问文件路径,如data://,zlib://,php://例如常见的有include('php://filter/read=convert.base64-encode/resource=index.php')include('data://text/plain;base64,xxxxx')phar://也是流包装的一种 二.phar原理①phar是一种压缩文件,其中每个被压缩文件的权限.属性信息都

Natas26: 打开页面是一个输入坐标点进行绘图的页面. <html> <head> <!-- This stuff in the header has nothing to do with the level --> <link rel="stylesheet" type="text/css" href="http://natas.labs.overthewire.org/css/level.css"

概要 来自Secarma的安全研究员Sam Thomas发现了一种新的漏洞利用方式,可以在不使用php函数unserialize()的前提下,引起严重的php对象注入漏洞.这个新的攻击方式被他公开在了美国的BlackHat会议演讲上,演讲主题为:”不为人所知的php反序列化漏洞”.它可以使攻击者将相关漏洞的严重程度升级为远程代码执行.我们在RIPS代码分析引擎中添加了对这种新型攻击的检测. 关于流包装 大多数PHP文件操作允许使用各种URL协议去访问文件路径:如data://,zlib://或p

首发先知社区,https://xz.aliyun.com/t/6718/ PHP 反序列化字符逃逸 下述所有测试均在 php 7.1.13 nts 下完成 先说几个特性,PHP 在反序列化时,对类中不存在的属性也会进行反序列化 PHP 在反序列化时,底层代码是以 ; 作为字段的分隔,以 } 作为结尾(字符串除外),并且是根据长度判断内容的 比如:在一个正常的反序列化的代码输入 a:2:{i:0;s:6:"peri0d";i:1;s:5:"aaaaa";} ,会得到如