2021-03-10-PHP代码审计题

PHP代码审计题

由于重点是代码审计，所以直接看代码了。

[HCTF 2018]WarmUp

 <?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {	//设置白名单
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) { //若$page为空或不是字符串则执行
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) { //看$page里是否有匹配$whitelist内的内容，有则🆗
                return true;
            }

            $_page = mb_substr( //在$page里截取第一个?之前的字符串
                $page,
                0,
                mb_strpos($page . '?', '?') //返回 $page.? 中 ? 首次出现的位置
            );
            if (in_array($_page, $whitelist)) { //再次进行白名单验证
                return true;
            }

            $_page = urldecode($page); //URL对$page进行解码
            $_page = mb_substr( //截取$page中第一个?之前的字符串
                $_page,
                0,
                mb_strpos($_page . '?', '?') //返回$page.?中?首次出现的位置
            );
            if (in_array($_page, $whitelist)) { //再次进行白名单验证
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file']) //判断内容是否为空
        && is_string($_REQUEST['file']) //判断内容是否为字符串
        && emmm::checkFile($_REQUEST['file']) //看是否通过checkFile()函数检验
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

相关函数：

• mb_substr(): 返回指定位置的文字

  示例：

  <?php
  echo mb_substr("我勒个去", 0, 2)
  ?>
  

  输出：我勒

• mb_strpos(): 返回被查找字符串在别一字符串中首次出现的位置。

  示例：

  <?php
  $str = 'http://www.aabbcc.com';
  echo mb_strpos($str, 'bb');
  ?>
  

  输出结果：13

• in_array(): 匹配对应字符串，有则返回true，反之false。

  由上述代码可见首先对传入的参数进行了非空判断又进行了是否为字符串的检验，最后看是否满足checkFile()函数的检验(checkFile函数在上方定义)。

  从checkFile()函数中可以看到，总计对输入参数进行了三次白名单验证，两次字符串截取，还在里面进行了一次URL解码。通过白名单又知道了一个文件(hint.php)，进入文件后得到提示flag文件名字。然后根据代码构造payload，由于白名单验证所以我们要首先将file=之后命名为一个白名单字符串(source.php与hint.php都可以)，然后由于要对字符串进行?之前的截取，所以后面在加上?，之后还会有URL解码，所以我们可以将?URL编码两次来通过浏览器与代码的两次解码（？的两次URL编码为：%253f），构造出payload：

  ?file=source.php%253f../../../../../ffffllllaaaagggg
  

  因为不知道文件的具体位置，所以为一次次尝试得出。

  这里我没用URL编码?也能成功，其实对?两次URL解码也不太了解，毕竟感觉先前开始传参与浏览器解读时已经进行了URL编码与解码，不需要两次且在代码对URL解码前已经截取过一次了，也木有受影响啊。

  所以不对？进行编码也可以，反正我成功了。

  ?file=source.php?../../../../../ffffllllaaaagggg
  

[极客大挑战 2019]PHP

flag.php:

<?php
$flag = 'Syc{dog_dog_dog_dog}';
?>

index.php:

 <?php
    include 'class.php';
    $select = $_GET['select'];
    $res=unserialize(@$select); //反序列化
 ?>
</