CTF-PHP原生类的利用

Exception的利用

题目代码如下：

<?php
 
$a = $_GET["a"];
$b = $_GET["b"];
$c = $_GET["c"];
$d = $_GET["d"];
$e = $_GET["e"];
$f = $_GET["f"];
$g = $_GET["g"];
 
if(preg_match("/Error|ArrayIterator|SplFileObject/i", $a)) {
    die("你今天rce不了一点");
}
if(preg_match("/php/i", $b)) {
 die("别上🐎，想捣蛋啊哥们？");
}
if(preg_match("/Error|ArrayIterator/i", $c)) {
 die("你今天rce不了一点");
}
 
$class = new $a($b);
$str1 = substr($class->$c(),$d,$e);
$str2 = substr($class->$c(),$f,$g);
$str1($str2);
 
//flag.php
 
?>

这一题目是最近在做题目时在网上搜到的相似题目，根据wp给出的思路是利用Exception对象里的getMessage内置方法实现。

这样一来就可以通过变量控制$str1和$str2的值从而实现RCE。

SplFileObject的利用

题目代码如下：

<?php
error_reporting(0);
show_source(__FILE__);
Class Hello{
    /**
    maybe you need get the contents in /f14g.txt!
    Ohhhhh you don't know how to get it?
    Why don't you try readfile?
     **/
    public function hello(){
        echo "hello!";
    }
}
$a = $_GET["a"];
$b = $_GET["b"];
$c = $_GET["c"];
$d = $_GET["d"];
$e = $_GET["e"];
$f = $_GET["f"];
$g = $_GET["g"];
foreach($_GET as $value ){
    if(preg_match("/Error|ArrayIterator|Exception|ReflectionClass/i", $value)) {
        die("hello");
    }
}
$class = new $a($b[0],$b[1]);
$str1 = substr($class->$c(),$d,$e);
$str2 = substr($class->$c(),$f,$g);
$str1($str2);
?> 

从题目中可以看出Exception被匹配拦截，但可以使用SplFileObject里的current内置方法。SplFileObject类可以读取文本内容，因为题目服务器里的文本内容不可控，所以此处可利用data伪协议进行配合利用。data协议需要php.ini的配置如下：

allow_url_fopen : on
allow_url_include : on

allow_url_include为off的情况下可以使用http协议控制返回内容从而达到变量可控。

当内容可控后就可以控制变量$str1和$str2的值从而实现RCE。

如果system、shell_exec、exec等命令执行函数被禁用，可以使用show_source等可读取文件内容的函数直接读取flag。