1. Typecho反序列化漏洞导致前台getshell漏洞分析
+
+
+ -
+
-
+ + ++1. 1 环境搭建+ + ++
-
+
-
+ + ++1---http://127.0.0.1/typecho/build+
-
+
-
+
+
+
+ -
+
-
+ + ++2---报错，没有密码？+
-
+
-
+
+
+
+-
+
-
+ + ++2-1+
-
+
-
+
+
+
+ -
+
-
+ + ++参考链接+ + ++
-
+
-
+ + ++ + + + +
+
+ -
+
+ -
+
-
+ + ++3--安装成功+
-
+
-
+
+
+
+ -
+
-
+ + ++4+
-
+
-
+
+
+
+ -
+
+ -
+
-
+ + ++1.2 漏洞分析+ + ++
-
+
-
+ + ++影响版本+ + ++
-
+
-
+ + ++v1.1 -15.5.12及以前的版本+ + + +
+
-
+ + ++0.9 (13.12.12)---版本好像不得行+
-
+
-
+
+
+
+ -
+
-
+ + ++1.0-14.10.10---成功+ + + +
+
+ -
+
-
+ + ++漏洞概述+ + ++
-
+
-
+ + ++该漏洞发生在install.php文件中，在参数__typecho_config中我们可以传入一些构造数据，使程序进行一系列操作，最后又call_user_func()函数或者array_map()实现任意代码执行。+ + + +
+
-
+ + ++文件：isntall.php+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++246 ,可控参数，__typecho_config，值传给config+ + + +
+
-
+ + ++251, new, 实例化类的操作，思考，类中有么有可控的魔法函数，触发魔法函数，魔法函数中有么有危险函数。+ + + +
+
-
+ + ++进入Typecho_Db这个类+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++2---路径+ + ++
-
+
-
+ + ++var/Typecho/Db.php+
-
+
-
+
+
+
+ -
+
+ -
+
-
+ + ++3---查看魔法函数，以及危险函数+ + ++
-
+
-
+ + ++Typecho_Db类+ + + +
+
-
+ + ++__construct()函数+
-
+
-
+
+
+
+ -
+
-
+ + ++无直接利用的危险函数，换个思路，触发另一个类，找到另一个类中的魔法函数+ + + +
+
-
+ + ++127，有一个拼接的操作，字符串和变量拼接+ + + +
+
-
+ + ++将adapterName变成类+ + + +
+
-
+ + ++adapterName对应config里面的adapter,如果我们用adapter来实例化一个类，PHP是弱类型的语言，把一个字符串和一个类拼接的时候，会强制把类转换成字符串，这个时候就会触发__toString方法。+ + + +
+
+ -
+
-
+ + ++4---找一个类，并且该类中有toString函数+ + ++
-
+
-
+ + ++整个文件夹中关键字+
-
+
-
+
+
+
+ -
+
-
+ + ++找到10个匹配结果+
-
+
-
+
+
+
+ -
+
-
+ + ++文件+ + ++
-
+
-
+ + ++/var/Typecho/Feed.php+ + + +
+
-
+ + ++Typecho_Feed类+ + + +
+
-
+ + ++发现__toString()函数+ + + +
+
-
+ + ++未找到危险函数，可控的变量+ + + +
+
-
+ + ++对代码进行分析+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++290， 取值操作+ + + +
+
-
+ + ++item 变量可控+
-
+
-
+
+
+
+ -
+
-
+ + ++$item是$this->_items的foreach循环出来的，并且$this->_items是Typecho_Feed类的一个private属性。+ + + +
+
-
+ + ++在这里如果可以将$item['author']定义为一个类，而该类中未定义screenName变量，当执行到290行的$item['author']->screenName时，则会自动调用__get()+ + + +
+
-
+ + ++思想---取找一个类，有get魔法函数，有危险函数+ + + +
+
+ -
+
+ -
+
+ -
+
-
+ + ++5---找一个类，并且该类中有get函数+ + + +
+
-
+ + ++call_user_func($filter, $value);---两个参数都是private，可控+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++文件+ + ++
-
+
-
+ + ++typecho\build\var\Typecho\Request.php+ + + +
+
+ -
+
-
+ + ++Typecho_Request类+ + + +
+
-
+ + ++__get()函数+
-
+
-
+
+
+
+ -
+
-
+ + ++get()函数+
-
+
-
+
+
+
+-
+
-
+ + ++调用__applyFilter($value)+ + ++
-
+
-
+ + ++进入函数+
-
+
-
+
+
+
+ -
+
-
+ + ++任意执行代码的函数+ + ++
-
+
-
+ + ++array_map()函数--函数和参数+ + ++
-
+
-
+ + ++将函数作用到数组中的每个值上，每个值都乘以本身，并返回带有新值的数组：+ + ++
-
+
-
+ + ++1---平方+
-
+
-
+
+
+
+ -
+
+ -
+
+ -
+
-
+ + ++call_user_func()函数--函数名，函数名对应的参数+ + ++
-
+
-
+ + ++把第一个参数作为回调函数调用+ + ++
-
+
-
+ + ++和版本有关系，php7.3.4不行，7.0.0版本可以，可以直接作为参数，但是作为变量传递不可以。+ + + +
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++2+
-
+
-
+
+
+
+ -
+
-
+ + ++3+
-
+
-
+
+
+
+ -
+
+ -
+
-
+ + ++看一下参数，$filter和$value+ + + +
+
-
+ + ++其中，$filter来自_filter变量，查看初始化+ + + +
+
-
+ + ++private $_filter，可控+
-
+
-
+
+
+
+ -
+
-
+ + ++value值来自get()函数，119行+ + + +
+
-
+ + ++$value = $this->_params[$key];+ + + +
+
+ -
+
+ -
+
+ -
+
+ -
+
-
+ + ++用户可控---private 变量就可控？通过__get()函数+
-
+
-
+
+
+
+ -
+
+ -
+
+ -
+
+ -
+
+ -
+
-
+ + ++整个过程分析+ + ++
-
+
-
+ + ++数据的输入点为install.php文件中的参数__typecho_config，从外部读入我们构造的序列化数据，使程序会进入的类Typecho_Db类的__construct()函数，然后进入Typecho_Feed类的__toString()函数，再依次进入Typecho_Request类的__get()、get(),_applyFilter()函数，最后由call_user_func()或者array_map()函数实现任意代码执行。+ + + +
+
+ -
+
+ -
+
-
+ + ++1.3 漏洞利用+ + ++
-
+
-
+ + ++poc流程图+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
+ -
+
-
+ + ++编写脚本+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
+ -
+
+ -
+
-
+ + ++1.4 漏洞复现+ + ++
-
+
-
+ + ++漏洞复现条件+ + ++
-
+
-
+ + ++1+
-
+
-
+
+
+
+ -
+
-
+ + ++$_GET['finish']不为空，存在+ + + +
+
-
+ + ++referer需要是本站----试一下+ + + +
+
+ -
+
-
+ + ++漏洞复现结果+ + ++
-
+
-
+ + ++1---最后结果，和=无关系，会自动补全？+
-
+
-
+
+
+
+ -
+
-
+ + ++2+
-
+
-
+
+
+
+ -
+
-
+ + ++3+
-
+
-
+
+
+
+-
+
-
+ + ++加上分号，也没有错+
-
+
-
+
+
+
+ -
+
+ -
+
+ -
+
+ -
+
-
+ + ++1.5 漏洞修复+ + ++
-
+
-
+ + ++删除install.php文件+ + + +
+
-
+ + ++升级到最新版本+ + ++
-
+
-
+ + ++左漏洞右新版本+
-
+
-
+
+
+
+ -
+
+ -
+
+ -
+