2022SCUCTF

前言

这次出了两个题，但是只放了一个easy_web这个题。镜像我都上传到我的dockerhub里了，自己需要的可以拉取。z3eyond的dockerhub

easy_web

F12,想到了robots.txt,下载源码

下载后开始审计代码，这儿我就不把源码复制过来了。

根据源码的User.class.php，直接admin,password登录进去

构造pop链

看到php文件中有很多魔法函数，就需要构造一个pop链子

链子从头到尾找，头部在User类的__desctruct中，然后尾部是在Files类中的__get中，里面可以执行任意命令；头部首先进入了__desctruct()后，可以通过数组的形式访问任意类的任意方法，那我们就让它访问User类的check()方法中，然后这里有echo，以字符串的形式输出对象，然后就会跳到Myerror类中的__tostring()方法中，然后它里面的$this->test是可控的，我们让它等于一个Files类里面没有的属性就行了，就可以直接调用__get方法了，并且给$key赋值，所以说现在的exp为：