一、漏洞原理：
二、靶场复现:
进入靶场，分析源代码：
<?php
error_reporting(0);
class secret{var $file='index.php';public function __construct($file){$this->file=$file;}function __destruct(){include_once($this->file);echo $flag;}function __wakeup(){$this->file='index.php';}
}
$cmd=$_GET['cmd'];
if (!isset($cmd)){highlight_file(__FILE__);
}
else{if (preg_match('/[oc]:\d+:/i',$cmd)){echo "Are you daydreaming?";}else{unserialize($cmd);}
}
//sercet in flag.php
?>分析代码可知，我们只需要将 $file 赋值为 flag.php 并且将 _wakeup()函数绕过即可。
构造payload:
并且将 "serect" 后的 1 改为 2，来绕过 _wakeup()函数。
根据正则表达式，题目不允许 O 的后面有数字，我们只能将 O:6 改为 O:%2B6，其中%2B是加号(+) 的url编码。
将最终的 payload 提交：
