buuctf-web-[极客大挑战 2019]PHP-wp

最新推荐文章于 2023-01-05 15:15:13 发布

居上7788

最新推荐文章于 2023-01-05 15:15:13 发布

阅读量189

点赞数

分类专栏： ctf记录

><本博客上原创文章未经本人许可，不得用于商业用途。转载请注明出处，否则保留追究法律责任的权利。><

版权

78 篇文章

订阅专栏

本文探讨了PHP中一个关于备份文件泄露的挑战，涉及反序列化漏洞利用技巧。通过理解如何避开`__wakeup`函数并巧妙地序列化对象，作者展示了如何在私有字段保护下获取flag。关键步骤包括构造特殊序列化字符串和处理私有字段的前缀。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

[极客大挑战 2019]PHP

主页：（提示我们存在备份文件），扫一下常见备份目录

发现www.zip，打开源码，在index.php发现有个存在反序列化漏洞

然后在class.php中可以看到，如果满足两个条件：

即可输出flag，但是如何让username的值为admin呢？由于wakeup方法会导致username成为guest，因此需要通过序列化字符串中对象的个数来绕过该方法。

跳过__wakeup()

在反序列化字符串时，属性个数的值大于实际属性个数时，会跳过 __wakeup()函数的执行

因此我们将序列化这样设置

O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}

不过还是没有结束，因为这个声明变量是private

private

private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字段名在序列化时，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度

我们再次改造一下序列化

O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}

payload:

?select=O:4:%22Name%22:3:{s:14:%22%00Name%00username%22;s:5:%22admin%22;s:14:%22%00Name%00password%22;i:100;}