从2020第五空间智能安全大赛Web题解析PHP安全攻防基础

1次阅读

共计 1851 个字符，预计需要花费 5 分钟才能阅读完成。

2020 年第五空间智能安全大赛的 ’hate-php’ 赛题是一个典型的 PHP 安全综合考察题目。这道题目设计精妙，主要考察选手对 PHP 反序列化漏洞、正则绕过技巧以及危险函数调用链的理解和利用能力。题目通过模拟真实场景中的 PHP 应用漏洞，帮助 CTF 新手建立起 PHP 安全攻防的基础认知框架。

这道赛题的核心意图是让选手理解：

PHP 反序列化漏洞的原理和利用方式
如何绕过常见的正则表达式过滤
危险函数（如 eval()、system() 等）的调用链构造
PHP 安全配置的重要性

PHP 反序列化漏洞是本题的核心考察点。当 PHP 应用接收用户可控的序列化数据并直接进行反序列化时，就可能触发该漏洞。攻击者可以通过构造特殊的序列化数据，在反序列化过程中执行任意代码。

在本题中，漏洞点出现在处理用户输入的序列化数据时没有进行充分的验证和过滤。具体表现为：

应用接收 base64 编码的序列化数据
解码后直接进行反序列化操作
反序列化过程中触发了魔术方法（如__wakeup()、__destruct()）
通过这些魔术方法构造了危险的函数调用链

题目中设置了正则表达式过滤来阻止某些危险字符的输入。常见的绕过技巧包括：

使用编码转换（如 UTF-8、URL 编码等）
利用 PHP 字符串解析特性
通过字符拼接或异或运算构造被过滤的字符串

本题的关键在于构造一个能够执行系统命令的函数调用链。这通常需要：

找到一个可用的危险函数（如 system()、exec() 等）
确定函数参数的可控性
通过对象属性和魔术方法将用户输入传递到危险函数

为了复现这个漏洞环境，我们可以使用 Docker 快速搭建一个靶场。以下是 docker-compose.yml 文件示例：

version: '3'
services:
  web:
    image: php:7.4-apache
    ports:
      - "8080:80"
    volumes:
      - ./src:/var/www/html
    environment:
      - DISPLAY_ERRORS=On

将赛题代码放入 src 目录后，只需运行 docker-compose up -d 即可启动靶场环境。

下面是一个带注释的 EXP 代码示例，展示了如何利用这个漏洞：

<?php
// 定义一个恶意类
class Exploit {
    public $cmd = "id";

    // 当对象被销毁时会自动调用
    function __destruct() {system($this->cmd);
    }
}

// 创建恶意对象
$obj = new Exploit();

// 序列化对象
$serialized = serialize($obj);

// 进行 base64 编码
$encoded = base64_encode($serialized);

// 输出 payload
echo "Payload:" . $encoded . "\n";
?>

使用步骤：

运行上述代码生成 payload
将生成的 base64 字符串提交给目标应用
观察系统命令执行结果

避免直接反序列化用户输入
如需反序列化，应实现严格的白名单验证
使用 json_decode() 代替unserialize()

在 php.ini 中设置：

; 禁用危险函数
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

; 关闭危险特性
allow_url_fopen = Off
allow_url_include = Off