题目如下,打开之后,什么都没有,查看源代码
![v2-404329a74413eca0a9d7797b36425728_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/1181cbc32c4f0eaaef2e6e540c1276e0.png)
打开include.php 根据页面名称,猜测是文件包含。
![v2-ce14feeb23735642788d8591e7121118_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/66814074b3387eaa09fd273cfc5cdf13.png)
打开题目后发现提示,查看源代码,发现upload.php
![v2-648eabf772460ef89d6bd3996adce489_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/b7fff4040fc92835c83d681b1baff720.png)
经过尝试判断为 白名单,MIME验证,且00截断不可用。想到刚才的include.php 尝试文件包含。
![v2-eef880fc0773622d1601cb09f4b2c5f4_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/472d2f26c321bef3b9486888c2a199b1.png)
根据报错发现可以包含,但是会自动添加.php后缀。尝试00截断,失败
既然可以包含,那我们尝试读下源码
![v2-1fa460636c944f2a5471a4ff54e20af9_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/24e9f50eb8d6adfe442cb4159d95bb29.png)
http://114.67.246.176:10000/include.php?file=php://filter/read=convert.base64-encode/resource=include
成功读到include的源码
发现过滤了很多参数,文件包含的几个常用伪协议,php://input ,file,ftp,,但是zip,和phar://都没有被过滤。既然如此,那就进行进行尝试
![v2-ecf0d3d75dbe4ab54effef030dddc9a5_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/75b1a3f72768af4fd7f91ff99d64e9f4.png)
![v2-84be2148ea4a21902752fc710d8c7253_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/0cee9d179b2ad136e173748b8fbb5fb5.png)
步骤如下,先写一个shell.php,然后进行压缩,重命名为shell.png
![v2-2f992a2bc75329d6aca3110187334b09_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/e274af3c20da11ca84b7b39b79ccdf0b.png)
然后根据phar://的读取方式,构造payload。如下
http://114.67.246.176:10000/include.php?file=phar://upload/shell.jpg/shell
![v2-84fc326a5a7d3d5ed7307762e45fa662_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/a197f40a5303c071d41919975e1effa2.jpeg)
exec
打开题目,查看源代码,发现
![v2-2669eee38ba80c4da21d68550efc6f4b_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/f1187d65b940d3c0730828beef5de164.png)
打开之后404,根据题目提示,打开exec1.php
不断尝试,得到当前目录文件,但是只有exec1.php,明显flag不在这个目录。一般情况就在根目录。 ls /查看。
![v2-0d4edf65301b9014e37c49d04ab55dbf_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/9b4504d1f15eae15f733683d3a845745.png)
发现flag,进行读取,因为不在一个目录,使用../进行跨目录,三层目录。
![v2-47653afbe6800f1360052e2db059eb64_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/11644ffcd724f8cc8a44b8404cd5759a.png)
![v2-a0c77848febece684aec601f8ffab8cf_b.jpg](https://i-blog.csdnimg.cn/blog_migrate/9d3aeedb897e0b56edce2c1f9260c361.png)