[PHP知识库][极客大挑战 2020]Greatphp 原生类绕过

<?php
error_reporting(0);
class SYCLOVER {
    public $syc;
    public $lover;

    public function __wakeup(){
        if( ($this->syc != $this->lover) && (md5($this->syc) === md5($this->lover)) && (sha1($this->syc)=== sha1($this->lover)) ){
           if(!preg_match("/\<\?php|\(|\)|\"|\'/", $this->syc, $match)){
               eval($this->syc);
           } else {
               die("Try Hard !!");
           }
           
        }
    }
}

if (isset($_GET['great'])){
    unserialize($_GET['great']);
} else {
    highlight_file(__FILE__);
}

?>

扫了一眼，反序列化的wakeup利用，里面的if语句很简单，利用数组绕过就行了，syc属性会经过一次正则表达式

preg_match("/\<\?php|\(|\)|\"|\'/", $this->syc, $match)

那我们先试试传入最基础的php代码试一试

?发现成功的绕过了正则输出了自己设的代码echo flag，但是eval函数执行不了，难道是数组的原因么，独立做一个程序试试

发现eval函数无法只能数组的php语句，这里就陷入为难了，一方面要利用数组绕过md5和sha1的强比较，但是我们构造的payload无法执行，看来超出我的知识储备了，找找资料去浅析PHP原生类 - 百度文库

又考到了原生类，这里利用的是Error类，当当作字符串的时候会触发toString函数导致XSSPHP原生类的利用_长球的鱼的博客-CSDN博客

利用原生类错误代码的不显现来绕过两个参数的不同，这里可以看到报错了行数，因此要把两个代码放在同一行上?

可以看到报错信息一样，因此可以绕过md5和sha1了?

绕过成功，现在要想怎么构造payload了，因为过滤了( )? ‘? “啥的，?这里就用到网上wp的include函数吧，第一次直到可以不用打括号php中return，require，include加括号和不加括号的区别 - 百度文库

我们可以用 include /flag来读取flag(因为我感觉日常不是注入的话不会为难你题目文件，一般都是flag.php或者/flag，其实就是自己懒了，不想写脚本跑不可见字符来跑显示目录的命令)?

习惯好记得urlencode编码一下，避免一些不注意的不可见字符导致失败,url编码后直接上传就行

但其实我有点想不通的是为什么不直接include /flag，它又不需要引号，也没有过滤一些东西，但是实践出来是打不开这个文件，很疑惑

创作打卡挑战赛

赢取流量/现金/CSDN周边激励大奖