Warmup

Warmup

解题思路：

打开网址发现图片，F12看见source.php，网页访问该文件发现代码：

<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

whitelist里只有"source"=>“source.php”,“hint”=>“hint.php” 打开hint.php

发现flag not here, and flag in ffffllllaaaagggg

审计代码发现page、mb_substr函数

mb_substr()函数的意思是page的值不变传下去（这里估计就是漏洞，截取有问题）

传到后面把page进行url解码

最后一个if表示要有file的request请求，include () 语句包含并运行指定文件

构造payload：

get请求

(42条消息) URLEncode原理_顺其自然~的博客-CSDN博客_urlencode

PHP中::、->、self、parent::、$this操作符的区别 - hechunhua - 博客园 (cnblogs.com)

(42条消息) url中一些常见的符号的作用_一只会飞的猪-FlaggingPig1的博客-CSDN博客_网址常用符号

最后一个if里表示会对request请求进行判断，file会在emmm的类里过一遍，所以要对payload进行url编码

将?经过两次url编码，在服务器端提取参数时解码一次，checkFile函数中解码一次，仍会解码为’?’

产生：file=source.php%253f/ffffllllaaaagggg

但没有显示flag只是显示之前的网页多次返回上级得到flag：

file=source.php%253f/…/…/…/…/…/ffffllllaaaagggg

isset()函数

bool isset ( mixed $var [, mixed $... ] )

$var：要检测的变量

如果一次传入多个参数，那么 isset() 只有在全部参数都被设置时返回 TRUE，计算过程从左至右，中途遇到没有设置的变量时就会立即停止。

例：

$a = "test"; 
$b = "anothertest"; 
var_dump(isset($a));      // TRUE
var_dump(isset($a, $b)); // TRUE

is_string()函数

bool is_string ( mixed $var )

如果指定变量为字符串，则返回 TRUE，否则返回 FALSE。

例：

<?php if (is_string("2663"))
   echo '这是一个字符串。' . PHP_EOL; 
else   
   echo '这不是一个字符串。';?>

结果：这是一个字符串

mb_substr() 函数

mb_substr() 函数返回字符串的一部分，之前我们学过 substr() 函数，它只针对英文字符，如果要分割的中文文字则需要使用 mb_substr()。

例：

<?php echo mb_substr("菜鸟菜鸟", 0, 2); // 输出：菜鸟 ?>

mb_strpos()函数

mb_strpos (haystack ,needle )

haystack：要被检查的字符串。

needle：要搜索的字符串。

例：

<?php
$str = 'http://www.feiniaomy.com';
echo mb_strpos($str,'niao');
?>

结果：14（mb_strpos()函数返回被查找的字符串在别一字符串中首次出现的位置）

urldecode() 解码 URL 字符串函数。此函数用于解码给出的已编码字符串中的任何 %##以及中文等被编码的内容。 （加号（‘+’）被解码成一个空格字符）。该函数经常被使用于php解码URL中的中文字符串。（urlencode()函数是编码）