php 伪协议 lfi,php://伪协议(I/O)总能给你惊喜——Bugku CTF-welcome to bugkuctf

今天一大早BugkuCTF 的welcome to bugkuctf 就给了我一发暴击：完全不会啊。。。光看源码就发现不知道怎么处理了，于是转向writeup求助。结果发现这是一道非常有营养的题目，赶紧记录一下。

题目链接：http://123.206.87.240:8006/test1/

源码

要点很清晰，首先是三个变量用get方式传进去。(这里password变量不是重点)之后，要用file_get_contents读user变量(这里应为文件)，且内容与所给字符串“welcome to the bugkuctf”严格相等。

emm,所以我就卡在了第一个点上，怎样让user文件的内容是“welcome to the bugkuctf”呢？于是php伪协议的第一个惊喜就出现了：php://input,功能上可以读入我们输入的内容，也就是说可以post字符串。(值得注意的是，php://input不能读get方式的传值)

除此之外，我们还有一个重点应该放在源码中提示的hint.php上，其要求是动态include($file),这时，以前用过的一招LFI就重出江湖了：

php://filter/read=convert.base64-encode/resource=hint.php

那么构造完整的url就是：

http://123.206.87.240:8006/test1/?txt=php://input&file=php://filter/read=convert.base64-encode/resource=hint.php

同时要post要求的字符串

返回的内容base64解码一波，如图

hint.php

当然，这个内容肯定不太够，所以我们尝试看看index.php是否有其他的内容

index.php

得到的完整源码如下：

class Flag{//flag.php

public $file;

public function __tostring(){

if(isset($this->file)){

echo file_get_contents($this->file);

echo "
";

return ("good");

}

}

}

?>

$txt = $_GET["txt"];

$file = $_GET["file"];

$password = $_GET["password"];

if(isset($txt)&&(file_get_contents($txt,'r')==="welcome to the bugkuctf")){

echo "hello friend!
";

if(preg_match("/flag/",$file)){

echo "不能现在就给你flag哦";

exit();

}else{

include($file);

$password = unserialize($password);

echo $password;

}

}else{

echo "you are not the number of bugku ! ";

}

?>

从源码才看出来网页源码给出的内容基本是唬人的，，，本来就是读的txt变量满足文件内容与welcome to the bugkuctf相等。。。但是思路确实是完全一致的。

而完整源码给我们的信息量就非常全面了，但是我自己迟迟没有找到要点。这里其实可以注意，我们能传的值只剩下password了，前面的file与txt都已经有了确定的值，那么思路就只需传password了。

password满足那些要求呢？且，源码中给出了关键提示的flag.php要怎么读呢？这里就涉及到几个关键要素：

1.file不能直接读flag.php，因为它正则匹配flag,所以无法令file=flag.php

2.但是，如果file文件名没有flag,就可以读file,传password并进行反序列化，最后以字符串形式输出password。

3.Flag类里面有一个魔术方法(貌似类似面向对象里面的构造方法)，只要调用了flag类变量就会自动执行。方法的作用是什么呢？就是读出file的内容。

所以思路一下就非常清楚了：首先，txt传跟之前一样的值，file因为只是辅助的作用所以文件名叫hint.php就满足要求了。而为了读出flag.php内容，我们只需对password下手：password如果是flag类型变量，那么我们初始化时就会读出password变量的file属性，只要让这个file属性值为flag.php不就可以了吗？所以，最后一步只用把我们的想法用脚本付诸实践，以解决序列化的问题：

用phpstorm在本地跑出来的结果

随后传值

flag

总之，感觉自己的php还有很多要学，自己半吊子的自学还是差了口气。同时，php://用太多妙用了，日后有机会一定更新文章专门总结一下。