TP6 反序列化利用链

面试自闭了 实战太菜了
无内鬼 审点链子
tp6没有之前的直接触发tostring的windows类了 所以要绕一下 触发了tostring之后就还可以走一条跟之前类似的路

起点是model类的destruct 跟进save

需要调用的方法在updateDate 前面的return很好控制

跟进箭头

跟进db

这里的拼接 触发tostring

使用Conversion

toArray这里跟之前有一点小变化 数组的键值设置会有点绕 打个断点慢慢调就是了

最后在这里 跟进

最后在getValue里出现了动态调用

vps成功打到请求

exp:

马赛克