题目告诉我们falg在flag.php中,但是访问了这个网页后,发现并没有,我们查看右键查看源代码有新的发现
代码审计
从第10行开始有php的代码,需要我们做php的代码审计
首先,通过if( !ini_get('display_errors') )判断当前PHP环境是否已设置display_errors配置参数。如果没有设置,则通过ini_set('display_errors', 'On')设置为打开错误显示功能。
使用error_reporting(E_ALL)设置错误报告级别为显示所有错误。
然后,从$_COOKIE数组中获取名为language的值,并将其赋值给$lan变量。
如果$lan不存在或为空,使用setcookie函数设置一个名为language的cookie,值为"english",并包含"english.php"文件。
如果$lan有值,根据该值包含相应的语言文件。
使用file_get_contents函数获取名为index.php的文件的内容,并将其赋值给变量$x。
最后,使用echo语句将变量$x的内容输出。
分析到这里方法就明确了,通过cookie传入文件包含的payload,就会执行
<?php //判断当前环境是否有设置diaplay_errors,没有设置的话,就使用On的方式打开 if(!ini_get('dispaly_errors')){ ini_get('display_errors','On'); } //设置错误显示级别为显示所有错误 error_reporting(*E_ALL*); //从cookie数组中获取language的数值,并赋值给lan变量 $lan=$_COOKIE['language']; //在lan不存在或为空的条件下,使用setcookie函数设置一个名为language数值为enlish的cookie并包含在enlish.php中 if(!$lan) { //使用 @ 符号抑制错误 @setcookie("language","english"); @include("english.php"); } //如果lan有数值的话,就会根据该数值包含相对应的语言文件,上传的COOKIE存在$lan,则$lan会自动拼接.php,并进行包含 else { @include($lan.".php"); } //使用file_get_contents函数获取名为index.php的文件内容并赋值给变量x $x=file_get_contents('index.php'); echo $x; ?>
我们打开bp进行抓包,这里抓包是在将题目链接在bp自带的浏览器中打开的
在里面添加内容:Cookie:language=php://filter/convert.base64-encode/resource=flag如果你是小白,看到这里可能要问(为什么如此构造?)
可以看出有这个内容的回显,我们再进行base64的解码
可以得到flag的内容
知识点
display_errors函数
display_errors是PHP配置选项之一,用于控制是否在页面上显示错误信息。
当display_errors配置参数被设置为On时,PHP会在页面上显示运行时错误信息。这对于开发和调试阶段非常有用,可以实时查看代码中的错误,并及时进行修复。
当display_errors配置参数被设置为Off时(或者未设置),PHP将禁止在页面上显示错误信息。这在生产环境中是一种常见的配置,以防止敏感信息暴露给用户或潜在的安全风险。
php伪协议
php://filter 是一个可以在 PHP 中进行数据过滤和流处理的协议。它可以让你通过一些特定的过滤器来处理各种数据流,包括文件,HTTP 请求,以及其它的输入和输出数据流。这些过滤器可以用于实现各种功能,例如数据加密和解密,数据压缩和解压缩,以及数据格式转换等。不过需要注意的是,如果使用不当,该协议也可能导致一些安全问题。协议的语法:
php://filter/标准输入输出流标识其中,[标准输入输出流标识] 可以是以下字符串之一:
read: 表示标准输入流(stdin) write: 表示标准输出流(stdout) 其它文件系统可用流标识符,比如 php://temp (临时流)和 php://memory(内存流)等。 而 [使用的过滤器] 部分则是一个或多个 PHP 过滤器名称,多个过滤器名称以 | 分隔。例如:urlencode|strip_tags
例如,如果您想使用 urlencode 过滤器将一段字符串编码并将其写入标准输出流(stdout),您可以使用以下语法:php://filter/write=urlencode|stdout
php://filter伪协议规则:
php://filter/过滤器|过滤器/resource=待过滤的数据流构造php://filter伪协议规则:
php://filter/convert.base64-encode/resource=flag.php
?是起始符可以理解为连接拼接的意思,file1是场景代码中的变量,=是赋值的意思。
convert转换,base64,encode编码。
&引用,不同名字访问同一变量的内容。
resource=flag.php转换到flag.php文件中,就是说把flag.php文件转换为base64编码格式。
因为$lan会自动拼接.php,并进行包含,所以我们不需要加.php后缀。