CTF之序列化_

CTF之序列化__toString

news2025/11/7 14:47:02

序列化简介

本质上serialize()和unserialize（）在php内部的实现上是没有漏洞的，漏洞的主要产生是由于应用程序在处理对象，魔术函数以及序列化相关问题时导致的。

当传给unserialize()的参数可控时，那么用户就可以注入精心构造的payload当进行反序列化的时候就有可能会触发对象中的一些魔术方法，造成意想不到的危害。

2.__toString介绍

__toString() 是魔术方法的一种，具体用途是当一个对象被当作字符串对待的时候，会触发这个魔术方法以下说明摘自PHP官方手册

public string __toString ( void )

__toString() 方法用于一个类被当成字符串时应怎样回应。例如 echo $obj; 应该显示些什么。此方法必须返回一个字符串，否则将发出一条 E_RECOVERABLE_ERROR 级别的致命错误。

Warning

不能在 __toString() 方法中抛出异常。这么做会导致致命错误。

Example #2 简单示例

<?php

// Declare a simple class

class TestClass

{

public $foo;

public function __construct($foo)

{

$this->foo = $foo;

}

public function __toString() {

return $this->foo;

}

$class = new TestClass('Hello');

echo $class;

3.ctf实例

<?php
Class readme{     public function __toString()     {         return highlight_file('Readme.txt', true).highlight_file($this->source, true);     } } if(isset($_GET['source'])){     $s = new readme();     $s->source = __FILE__;     echo $s;     exit; }
//$todos = [];
if(isset($_COOKIE['todos'])){     $c = $_COOKIE['todos'];     $h = substr($c, 0, 32);     $m = substr($c, 32);     if(md5($m) === $h){         $todos = unserialize($m);     } } if(isset($_POST['text'])){     $todo = $_POST['text'];     $todos[] = $todo;     $m = serialize($todos);     $h = md5($m);     setcookie('todos', $h.$m);     header('Location: '.$_SERVER['REQUEST_URI']);     exit; }
?>
<html> <head> </head> <h1>Readme</h1> <a href="?source"><h2>Check Code</h2></a> <ul>
<?php foreach($todos as $todo):?>
    <li><?=$todo?></li>
<?php endforeach;?>
</ul> <form method="post" href=".">     <textarea name="text"></textarea>     <input type="submit" value="store"> </form>

4.测试过程

4.1片段代码进行测试

<?php

Class readme{

public function __toString()

{

return highlight_file('Readme.txt', true).highlight_file($this->source, true);

}

if(isset($_GET['source'])){

$s = new readme();

$s->source = 'flag.php';

echo $s;

exit;

}

看到可以读取到内容

4.2 测试判断

if(isset($_COOKIE['todos'])){ $c = $_COOKIE['todos']; $h = substr($c, 0, 32); $m = substr($c, 32); if(md5($m) === $h){ $todos = unserialize($m); } }