[HCTF 2018]WarmUp
查看页面源码,发现有提示
访问source.php,发现后台代码
<?php
highlight_file(__FILE__);
class emmm
{
public static function checkFile(&$page)
{
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];
if (! isset($page) || !is_string($page)) {
echo "you can't see it";
return false;
}
if (in_array($page, $whitelist)) {
return true;
}
$_page = mb_substr(
$page,
0,
mb_strpos($page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
$_page = urldecode($page);
$_page = mb_substr(
$_page,
0,
mb_strpos($_page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
echo "you can't see it";
return false;
}
}
if (! empty($_REQUEST['file'])
&& is_string($_REQUEST['file'])
&& emmm::checkFile($_REQUEST['file'])
) {
include $_REQUEST['file'];
exit;
} else {
echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
}
?>
看一下代码应该是文件包含漏洞,主要是绕过emmm类中的checkfile函数
,仔细看一下这个函数,第一个点,调用这个函数的时候参数使用的是引用传递,虽然对解题没什么影响,只是提一下这个知识点。
参数的引用传递就是把实参的内存地址复制一份,然后传递给函数的形参,实参和形参都指向同一个内存地址,因此函数对形参的操作,会影响到函数外的实参。
按引用传递就是将实参的内存地址传递到函数的形参中。因此实参和形参指向的是同一个内存地址。这时在函数内部的所有操作都会影响到函数外实参的值。引用传递的方式就是在值传递的基础上加上一个&符号,如下所示:
function name (&参数1, &参数2, ..., &参数3) {
...
}
看一下这个函数的参数使用这就这种传参方式
继续往下看函数的功能,先设置了一个白名单,如果是白名单里的内容,则返回true,否则继续运行,接下里便是函数mb_substr(),该函数的作用如下:
该函数里面又套了个mb_strpos()函数
函数执行完后,继续判断截取的字符串是否在白名单中,若在,返回true,否则返回false
后面再执行一次url解码,然后和前面的过程一样。
分析完函数后,就要开始想如何绕过,第一种方法是
file=hint.php?/../../../../../ffffllllaaaagggg
当执行第一次截取时,得到hint.php。返回true,然后便可以进行文件包含
,但是我们发现该函数并未对我们传入的值进行任何改变,也就是说include包含的内容是**”hint.php?/…/…/…/…/…/ffffllllaaaagggg“,但是为什么还是能够执行呢,这里是因为操作系统会“hint.php?/”这一部分当作文件夹,在此基础上通过…/回溯到上一级,如果是”hint.php?../…/…/…/…/ffffllllaaaagggg“,注意这里问号后面没有斜杠,直接是点。发现也可以执行成功,原因一样,是因为把”hint.php?../“**当作了文件夹名。如果没有这样命名的文件夹。则会直接寻找后面的相对路径进行读取
注意:如果我linux操作系统这样是可以的,如果是Windows操作系统,便会报错,因为Windows操作系统不允许文件名中出现问号等特殊字符,而linux可以。也可以猜到该题的后台环境应该是linux
第二种方法和第一种类似:
file=source.php%253f../../../../../ffffllllaaaagggg
利用url解码后再截取通过白名单