[GXYCTF2019]禁止套娃1（两种方法）

[GXYCTF2019]禁止套娃 1

进入环境，只有一串字符 查看源代码 抓包 什么都没有发现 尝试使用御剑进行目录爆破 也只是爆出了index.php

然后 尝试直接使用 php伪协议进行一个 flag 读取 但都失败了。在这种情况下，肯定是服务器进行了一个过滤。所以，我怀疑可能是源码泄露 。
尝试使用 GitHack 看看是不是源码泄露

GitHack 下载地址：https://github.com/lijiejie/GitHack

扒下了网站的源码
好了，现在就是代码审计了
最吸引眼球的就是 eval的一句话木马，题目又加了好多过滤限制了REC
首先是 php伪协议 data协议 filter协议 都不能使用了
然后该网站使用了正则匹配 其实这就是无参数的rce

• 如果如果’;'===preg_replace(…)，那么就执行exp传递的命令
• (?R)? : (?R)代表当前表达式，就是这个(/[a-z,_]+((?R)?)/)，所以会一直递归，?表示递归当前表达式0次或1次（若是(?R)*则表示递归当前表达式0次或多次，例如它可以匹配a(b(c()d()))）

无参数REC 一般有三种绕过姿势：

• gettallheaders（）
• get_defined_vars()
• session_id()
  具体可以参考博客

紧接着 又是一次黑名单过滤，很多的关键字都被黑掉了(带有get 函数的，肯定是不能用了)
但还有一个函数 scandir 以扫描当前目录下的文件

这里，我就直接构造payload：

exp=highlight_file(next(array_reverse(scandir(pos(localeconv())))));

• highlight_file() 函数对文件进行语法高亮显示，本函数是show_source() 的别名
• next() 输出数组中的当前元素和下一个元素的值。
• array_reverse() 函数以相反的元素顺序返回数组。(主要是能返回值)
• scandir() 函数返回指定目录中的文件和目录的数组。
• pos() 输出数组中的当前元素的值。
• localeconv() 函数返回一个包含本地数字及货币格式信息的数组，该数组的第一个元素就是"."。

原理：
loacleconv 函数会固定返回一个 . 然后pos将我们获得的 .返回到我们构造的 payload 使得 scandir能够返回当前目录下的数组（换句话说，就是读出当前目录下的文件） rray_reverse()以相反的顺序输出（目的是以正序输出查询出来的内容）然后 next 提取第二个元素（将.过滤出去），最后用highlight_file()给显示出来。

方法二

上面 的正则过滤中 其实并没有过滤掉 session_id()
所以我们可以使用 session_id来获取 flag
session_id() 可以用来获取/设置 当前会话 ID。
在我们使用 session_id()的时候 需要使用session_start()来开启session会话
我们尝试构造payload

?exp=highlight_file( session_id(session_start()));

session_id(session_start())
使用session之前需要通过session_start()告诉PHP使用session，php默认是不主动使用session的。
session_id()可以获取到当前的session id。