[极客大挑战 2019]PHP

最新推荐文章于 2021-10-13 21:17:01 发布

borrrrring

最新推荐文章于 2021-10-13 21:17:01 发布

阅读量137

点赞数

分类专栏： BUUCTF 文章标签： php

本文链接：https://blog.csdn.net/borrrrring/article/details/108858369

版权

BUUCTF 专栏收录该内容

8 篇文章 1 订阅

订阅专栏

本文探讨了一个PHP网站的安全问题，涉及到文件解压、PHP类的反序列化以及如何通过构造序列化字符串来绕过wakeup()函数的限制。在审计代码过程中，发现了当$username=admin&&$password=100$时可以获取flag，但需避免username字段被wakeup()函数改写。通过插入私有字段的特殊编码形式，成功绕过限制并获取了flag。

摘要由CSDN通过智能技术生成

刚进入网站，我们可以看到这样的一个界面
在这里插入图片描述
根据图片内容提示，“有备份网站的习惯”
日常后台扫描，发现有www.zip文件，我们进行解压得到

看到flag.php打开查看，发现没有什么有用的信息。
我们打开index.php看看
在这里插入图片描述
我们可以看到通过get方式传入参数select，并对参数select进行反序列化。
接下来，查看class.php

进行代码审计
我们可以看到当username=admin&&password=100时，就可以获得flag，但是我们需要先对其进行序列化。
但是当经过wakeup()函数时，username会被赋值成guest，使得无法输出flag，所以我们还需要绕过wakeup()函数。
1.构造序列化
在这里插入图片描述
得到O:4:“Name”:2:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;i:100;}
2.绕过wakeup()函数
即O:4:“Name”:3:{s:14:“Nameusername”;s:5:“admin”;s:14:“Namepassword”;i:100;}

但是由于private声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时，类名和字段名前面都会加上0的前缀。
即O:4:“Name”:3:{s:14:"%00Name%00username";s:5:“admin”;s:14:"%00Name%00password";i:100;}

最后获得flag
在这里插入图片描述