死亡退出

最近做了一道非常有意思的题，感觉很有用，故记录于此：
题目来源：MOctf

这是一道代码审计题目，但是涉及的知识非常的实用：
题目如下：

发现我们可以通过POST传过去我们想执行的命令，但是前面但是有"<?php exit;?>"
这就会导致我们传过去的命令还未执行，就因为exit;的原因退出结束运行脚本了。。

试验一下：

执行一下：

去掉exit试试：

成功执行。。

但是要怎么样才能绕过呢？这里面就涉及到了php伪协议

php://filter–>>可以控制读取和写入的方式

这里使用base64写入，因为base64解码有一个小小的漏洞，就是会跳过不认识的字符，继续解码，就像"<?php exit;?>";
base64只认识"phpexit",七个字符，又因为，base64解码是以4个为一组解码的。所以就要在我们控制的变量POST过去的’c’前面后面再加一个字符了。至于为什么，可以看一下我的这篇文章添加链接描述

而后面的字符，就是我们base64解码后要执行的命令；

而如何实现base64解码写入呢，就要用到php伪协议：
php://filter不仅能控制从文件里由什么方式读取，还可以控制由什么方式写入文件
分别为：

php://filter/read=convert.base64-encode/resource=
php://filter/write=convert.base64-decode/resource=  //resource后面填的就是我们要读取、写入的文件了

payload为：?c=aPD9waHAgcGhwaW5mbygpOz8+&file=php://filter/write=convert.base64-decode/resource=./tmp.php

我们将完整的写入的字符base64解码一下看看

<?php exit;?>aPD9waHAgcGhwaW5mbygpOz8+//解码前
¦{­Ú<?php phpinfo();?>//解码后

由此就完成了绕过！！