exp

alert('1')");$b = serialize($a);echo urlencode($b);

也可以成功弹窗

命令执行

如果有eval的话就可以rce

  这就不限于Error函数了、

其他类

ReflectionMethod类

他本身具有的方法

class ReflectionMethod extends ReflectionFunctionAbstract implements Reflector {    ReflectionMethod::__construct — ReflectionMethod 的构造函数    ReflectionMethod::export — 输出一个回调方法    ReflectionMethod::getClosure — 返回一个动态建立的方法调用接口，译者注：可以使用这个返回值直接调用非公开方法。    ReflectionMethod::getDeclarinGClass — 获取被反射的方法所在类的反射实例    ReflectionMethod::getModifiers — 获取方法的修饰符    ReflectionMethod::getPrototype — 返回方法原型 (如果存在)    ReflectionMethod::invoke — Invoke    ReflectionMethod::invokeArgs — 带参数执行    ReflectionMethod::isAbstract — 判断方法是否是抽象方法    ReflectionMethod::isConstructor — 判断方法是否是构造方法    ReflectionMethod::isDestructor — 判断方法是否是析构方法    ReflectionMethod::isFinal — 判断方法是否定义 final    ReflectionMethod::isPrivate — 判断方法是否是私有方法    ReflectionMethod::isProtected — 判断方法是否是保护方法 (protected)    ReflectionMethod::isPublic — 判断方法是否是公开方法    ReflectionMethod::isStatic — 判断方法是否是静态方法    ReflectionMethod::setAccessible — 设置方法是否访问    ReflectionMethod::__toString — 返回反射方法对象的字符串表达            final private ReflectionFunctionAbstract::__clone(): void    public ReflectionFunctionAbstract::getAttributes(?string $name = null, int $flags = 0): array    public ReflectionFunctionAbstract::getClosureScopeClass(): ?ReflectionClass    public ReflectionFunctionAbstract::getClosureThis(): object    public ReflectionFunctionAbstract::getDocComment(): string    public ReflectionFunctionAbstract::getEndLine(): int    public ReflectionFunctionAbstract::getExtension(): ReflectionExtension    public ReflectionFunctionAbstract::getExtensionName(): string    public ReflectionFunctionAbstract::getFileName(): string    public ReflectionFunctionAbstract::getName(): string    public ReflectionFunctionAbstract::getNamespaceName(): string    public ReflectionFunctionAbstract::getNumberOfParameters(): int    public ReflectionFunctionAbstract::getNumberOfRequiredParameters(): int    public ReflectionFunctionAbstract::getParameters(): array    public ReflectionFunctionAbstract::getReturnType(): ?ReflectionType    public ReflectionFunctionAbstract::getShortName(): string    public ReflectionFunctionAbstract::getStartLine(): int    public ReflectionFunctionAbstract::getStaticVariables(): array    public ReflectionFunctionAbstract::hasReturnType(): bool    public ReflectionFunctionAbstract::inNamespace(): bool    public ReflectionFunctionAbstract::isClosure(): bool    public ReflectionFunctionAbstract::isDeprecated(): bool    public ReflectionFunctionAbstract::isGenerator(): bool    public ReflectionFunctionAbstract::isInternal(): bool    public ReflectionFunctionAbstract::isUserDefined(): bool    public ReflectionFunctionAbstract::isVariadic(): bool    public ReflectionFunctionAbstract::returnsReference(): bool    abstract public ReflectionFunctionAbstract::__toString(): void

可以看到这里也有一个__toString函数，也可以触发反序列化漏洞 

ReflectionMethod 类中有很多继承方法可以使用，比如这个 getDocComment() 方法，我们可以用它来获取类中各个函数注释内容

getDocComment());?>

?a=ReflectionMethod&b=a&c=b

利用原生类ReflectionMethod中的getDocComment()函数类读取注释

ZipArcHive类

可以通过本类执行一些文件操作，在CTF可以用来删除waf

open(打开一个压缩包文件)

$zip = new \ZipArchive; $zip->open('test_new.zip', \ZipArchive::CREATE)

常用方法 

ZipArchive::addEmptyDir：添加一个新的文件目录ZipArchive::addFile：将文件添加到指定zip压缩包中ZipArchive::addFromString：添加新的文件同时将内容添加进去ZipArchive::close：关闭ziparchiveZipArchive::extractTo：将压缩包解压ZipArchive::open：打开一个zip压缩包ZipArchive::deleteIndex：删除压缩包中的某一个文件，如：deleteIndex(0)代表删除第一个文件ZipArchive::deleteName：删除压缩包中的某一个文件名称，同时也将文件删除

来源地址：https://blog.csdn.net/kuzemax/article/details/132144440