Hed9eh0g's home

前言 2020年1月10日，ThinkPHP团队发布一个补丁更新，修复了一处由不安全的SessionId导致的任意文件操作漏洞。该漏洞允许攻击者在目标环境启用session的条件下创建任意文件以及删除任意文件，在特定情况…

前言 这是继前两篇laravel系列之后所记录的第二条链，其实这条链同样适用于5.7，其分析过程可以说比较复杂，因此采用边debug边构造POC更加方便，算是一项技巧吧。 POP链构造 寻找__destruct方法 全局…

前言 第一次得知该漏洞后找了一些文章去看。 一开始不明白这个漏洞是怎么来的，只知道通过在服务端运行poc脚本就可以读取客户端的任意文件，直接找到网上准备好的靶机进行测试，发现可行，然后就拿别人的poc试验，屡次失败，一度…

前言 接上文的第一条链，由于call_user_func()不仅可以调用任意系统函数，还可以调用类中的方法，因此本文是对后者调用类的方法的补充。 实现任意类的任意方法的格式可以如下： $a = new A(); call…

前言 laravel也是php主要流行的框架之一，值得挖掘。 环境配置 这里使用composer来安装 首先一定要先换成阿里云源： composer config -g repo.packagist composer h…

目录 前言环境配置POP链构造寻找__destruct方法跟进save方法跟进getForStorage方法跟进cleanContents方法回到save方法跟进has方法跟进applyPathPrefix方法跟进get…

前言 第三条POP链是在第二条的基础上找的，它的应用相对于第二条比较有效，EIS2019 EZPOP就涉及到该链。 环境配置 同上文 POP链构造 在第二条链基础上，到set方法（/vendor/topthink/fra…

涉及知识点 pop链构造（来自thinkphp 6） php://filter base64编码规则 思路 <?php error_reporting(0); class A { protected $store;…

前言 接上文找第二条POP链。 环境配置 同上文 POP链构造 寻找__destruct方法 仍然是寻找__destruct，这次关注AbstractCache.php（/vendor/league/flysystem-…

前言 这几天算是进阶到框架类漏洞的学习了，首当其冲想到是thinkphp，先拿thinkphp6.0.x来学习一下，体验一下寻找pop链的快乐。 在此感谢楷师傅的帮忙~ 环境配置 用composer指令安装： compo…