ThinkPHP 6.x宽字节安全反序列化POP链深度剖析

在本篇关于ThinkPHP 6.x反序列化POP链的文章中，作者首先介绍了环境的准备步骤，包括安装ThinkPHP 6.0版本并通过Composer创建项目，以及设置开发模式（APP_DEBUG=true）。文章的核心内容围绕如何在ThinkPHP 6的环境中分析一个安全漏洞，即针对`/vendor/league/flysystem-cached-adapter/src/Storage/AbstractCache.php`中的`__destruct()`方法，特别是`save()`函数。 `__destruct()`方法在类卸载时被调用，这个位置被认为是POP链（Payload On Passing）的起点。作者提到，攻击者的目标是利用宽字节安全问题来执行恶意代码。在这个阶段，攻击者会寻找继承自`AbstractCache`的类，如`Adapter`，并在其`save()`方法中进行操作。 在`Adapter`类的`save()`方法中，关键部分是对`$contents`变量的处理。这个变量源自`getForStorage()`函数的返回值，该函数先调用了`cleanContents()`。然而，当前类并未实现`cleanContents()`，所以会向上级类查找。在这里，`$contents`实际上包含了要写入文件的JSON编码内容，这是潜在的安全入口点。 文章继续深入到`cleanContents()`函数，发现它实际上是简单地将接收到的数组返回，没有进行任何清理或过滤。这使得攻击者能够通过传递恶意构造的数据来控制`$contents`，进而可能导致文件写入漏洞。 接着，作者揭示了`save()`方法中的if-else逻辑，其中涉及到`write()`方法，这可能是执行恶意代码的关键点。通过对`write()`方法的调用，攻击者有机会在系统中执行他们设计的代码，从而完成整个POP链的构建。 总结来说，这篇文章详细剖析了ThinkPHP 6.x中一个特定的反序列化漏洞，着重于`__destruct()`和`save()`方法的交互，以及如何通过`Adapter`类和`cleanContents()`函数的弱点来实现恶意代码的执行。这对于理解ThinkPHP 6.x的安全性以及如何防御此类攻击具有重要的参考价值。