根据提示在phpinfo拿到
很显然答案在 d0g3_f1ag.php里面，关键是我们怎么去读取他的源码 ，可以看到最后一排的会获取 ['img'] 中的 的源码，我们仅需要覆盖img的值将他变成d0g3_f1ag.php就行。
在看这个过滤函数
他会使得输入的相应字符变为空，也就是让序列化后的字符串变短，我们就可以利用此来吞掉原本的变量名，而注入我们想注入的代码。
第一种解法：值逃逸
d0g3_f1ag.php的base64 编码 ZDBnM19mMWFnLnBocA== 长度20
在本地测试的时候得到正常的 序列化字符是这样的
a:3:{s:4:"user";s:5:"guest";s:8:"function";s:3:"123";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}
前者user，和function 的值都是我们可控的
我们想要构造的是 s:3:"img";s:20:"ZDBnM19mMWFnLnBocA=="; 设想一下 ，如果我们把它设置function的值，并且在前面user的值利用过滤函数将后面的 "s:8:"function";s:xx:" 吞掉，那么function的值，也就是我们想要注入的对象，不就正好上位了吗? 但是注意闭合前面的由于吞掉而缺少的分号和双引号，而且，这里两个双引号紧挨着会报错，所以我们加一个字符，再把这个字符一起吞掉就行，还有 这里前面是 a:3: 所以我在最后还要添加一个属性。
payload
_SESSION[user]=flagflagflagflagflagflag&_SESSION[function]=a";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:2:"dd";s:1:"a";}
读到源码
再去修改payload的文件中的值，然后再去访问，发现什么也没有返回，然后尝试 /../d0g3_fllllllag 然后base64编码 去访问就会返回flag
（2）长度变长
题目 [0CTF] piapiapia // 同样在buu里又复现
wp参考这里 -> https://www.jb51.net/article/180496.htm
a:4:{s:5:"phone";s:11:"12345678901";s:5:"email";s:8:"ss@q.com";s:8:"nickname";s:8:"sea_sand";s:5:"photo";s:10:"config.php";}s:39:"upload/804f743824c0451b2f60d81b63b6a900";}
红色部分是我们想要注入的，这道题的过滤函数有三个 ，但是导致长度变化的过滤是这个
where->hacker 多出了一个字符
但是另一个过滤使 nickname 有长度限制
