ics-07

最新推荐文章于 2022-07-26 15:00:13 发布

CN天狼

最新推荐文章于 2022-07-26 15:00:13 发布

阅读量109

点赞数 1

分类专栏： CTF 文章标签： php 安全 web安全后端网络安全

本文链接：https://blog.csdn.net/qq_62414126/article/details/123198543

版权

CTF 专栏收录该内容

39 篇文章 2 订阅

订阅专栏

和ics-05一样在index.php
然后有个view 打开

<?php
	session_start();
	if (!isset($_GET[page])) {
	      show_source(__FILE__);
	      die();
	    }
	if (isset($_GET[page]) && $_GET[page] != 'index.php') {
	      include('flag.php');
	    }else {
	      header('Location: ?page=flag.php');
	    }
?>

这个自动绕过了不用管

<?php
  if ($_SESSION['admin']) {
     $con = $_POST['con'];
     $file = $_POST['file'];
     $filename = "backup/".$file;
     }
?>

发现只有以admin身份才能写文件
先继续往下看

<?php
	if (isset($_GET[id]) && floatval($_GET[id]) !== '1' && substr($_GET[id], -1) === '9') {
	        include 'config.php';
	        $id = mysql_real_escape_string($_GET[id]);
	        $sql="select * from cetc007.user where id='$id'";
	        $result = mysql_query($sql);
	        $result = mysql_fetch_object($result);
	      } 
	else {
	        $result = False;
	        die();
		}
	if(!$result){
			die("<br>something wae wrong ! <br>");
			}
			
	if($result){
	      	echo "id: ".$result->id."</br>";
	      	echo "name:".$result->user."</br>";
	      	$_SESSION['admin'] = True;
	      }
 ?>

这里要传id
id不能等于1 最后一个字符是9
但是id太大又啥都没有
所以要用1-9绕过
这样你就是admin了

<?php
  if ($_SESSION['admin']) {
     $con = $_POST['con'];
     $file = $_POST['file'];
     $filename = "backup/".$file;

     if(preg_match('/.+\.ph(p[3457]?|t|tml)$/i', $filename)){
        die("Bad file extension");
     }
     else{
        chdir('uploaded');
        $f = fopen($filename, 'w');
        write($f, $con);
        fclose($f);
       }
     }
?>