Exception的利用
题目代码如下:
<?php
$a = $_GET["a"];
$b = $_GET["b"];
$c = $_GET["c"];
$d = $_GET["d"];
$e = $_GET["e"];
$f = $_GET["f"];
$g = $_GET["g"];
if(preg_match("/Error|ArrayIterator|SplFileObject/i", $a)) {
die("你今天rce不了一点");
}
if(preg_match("/php/i", $b)) {
die("别上🐎,想捣蛋啊哥们?");
}
if(preg_match("/Error|ArrayIterator/i", $c)) {
die("你今天rce不了一点");
}
$class = new $a($b);
$str1 = substr($class->$c(),$d,$e);
$str2 = substr($class->$c(),$f,$g);
$str1($str2);
//flag.php
?>
这一题目是最近在做题目时在网上搜到的相似题目,根据wp给出的思路是利用Exception对象里的getMessage内置方法实现。
这样一来就可以通过变量控制$str1和$str2的值从而实现RCE。
SplFileObject的利用
题目代码如下:
<?php
error_reporting(0);
show_source(__FILE__);
Class Hello{
/**
maybe you need get the contents in /f14g.txt!
Ohhhhh you don't know how to get it?
Why don't you try readfile?
**/
public function hello(){
echo "hello!";
}
}
$a = $_GET["a"];
$b = $_GET["b"];
$c = $_GET["c"];
$d = $_GET["d"];
$e = $_GET["e"];
$f = $_GET["f"];
$g = $_GET["g"];
foreach($_GET as $value ){
if(preg_match("/Error|ArrayIterator|Exception|ReflectionClass/i", $value)) {
die("hello");
}
}
$class = new $a($b[0],$b[1]);
$str1 = substr($class->$c(),$d,$e);
$str2 = substr($class->$c(),$f,$g);
$str1($str2);
?>
从题目中可以看出Exception被匹配拦截,但可以使用SplFileObject里的current内置方法。SplFileObject类可以读取文本内容,因为题目服务器里的文本内容不可控,所以此处可利用data伪协议进行配合利用。data协议需要php.ini的配置如下:
allow_url_fopen : on
allow_url_include : on
allow_url_include为off的情况下可以使用http协议控制返回内容从而达到变量可控。
当内容可控后就可以控制变量$str1和$str2的值从而实现RCE。
如果system、shell_exec、exec等命令执行函数被禁用,可以使用show_source等可读取文件内容的函数直接读取flag。