赞
踩
首先分析源码:
- <?php
- highlight_file(__FILE__);
- error_reporting(0);
- class A{
- public $v1 = 'ls';
- public $v2 = '123';
-
- public function __construct($arga,$argc){
- $this->v1 = $arga;
- $this->v2 = $argc;
- }
- }
- $a = $_GET['v1'];
- $b = $_GET['v2'];
- $data = serialize(new A($a,$b));
- $data = str_replace("ls","pwd",$data);
-
- var_dump(unserialize($data));

通过分析代码,后台将我们输入的字符串中的 'ls' 全部都替换为了 'pwd'。
我们可以利用这个漏洞构造以下payload:
原有字符串的长度为66,加长后的字符串超出了66之后,就将我们想要写入的序列化语句挤了出来,并且挤出的字符串的末尾为 ;} 将序列化语句闭合,将闭合符号后面的语句直接注释掉,达到了我们的目的。
- <?php
- highlight_file(__FILE__);
- error_reporting(0);
- class A{
- public $v1 = "abcsystem()system()system()";
- public $v2 = '123';
-
- public function __construct($arga,$argc){
- $this->v1 = $arga;
- $this->v2 = $argc;
- }
- }
- $a = $_GET['v1'];
- $b = $_GET['v2'];
- $data = serialize(new A($a,$b));
- $data = str_replace("system()","",$data);
- var_dump(unserialize($data));
- ?>

逃逸减少的代码通过 str_replace()函数将输入字符串中的 'system()' 替换成了 "" 空字符。
通过这个特性构造payload:
利用溢出的长度将事先准备的后面的字符串吃掉,并且衔接上我们自己想要写入的字符串,达到我们的目的。
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。