[SCTF2021]Upload_it_1复现闭包组件反序列化rce

huamanggg

于 2022-02-11 22:44:49 发布

阅读量3.6k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：比赛wp 文章标签：网络安全 php

本文链接：https://blog.csdn.net/m0_51078229/article/details/122868851

本文详细复现了SCTF2021 web挑战Upload_it_1的解决过程，主要涉及闭包组件的反序列化漏洞。通过分析composer.json导入的组件，发现与序列化相关。利用目录穿越将文件写入tmp目录，并操控session文件，构造恶意闭包实现远程代码执行（RCE）。在exploit构造中，利用LazyString的__toString方法。最终，通过观察phpinfo()确认session存储类型为file，利用__sleep方法调用__toString完成攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

题目地址

SycloverTeam提供了题目的docker环境
https://github.com/SycloverTeam/SCTF2021/tree/master/web/Upload_it_1

wp

首先题目给了composer.json

{
    "name": "sctf2021/upload",
    "authors": [
        {
            "name": "AFKL",
            "email": "[email protected]"
        }
    ],
    "require": {
        "symfony/string": "^5.3",
        "opis/closure": "^3.6"
    }
}

导入了两个包，那就肯定是组件相关的攻击了

"symfony/string": "^5.3",
"opis/closure": "^3.6"

composer update一下
在这里插入图片描述
第二个组件是关于闭包反序列化的，所以猜测和序列化有关

index.php内的主要逻辑代码

if (!empty($_POST['path'])) {
   
   
    $upload_file_path = $_SESSION["upload_path"]."/".$_POST['path'];
    $upload_file = $upload_file_path."/".$file['name'];
} else {
   
   
    $upload_file_path = $_SESSION["