[PHP知识库] Buuctf-warmup

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> PHP知识库 -> Buuctf-warmup -> 正文阅读

[PHP知识库]Buuctf-warmup

0x01 题目链接

https://buuoj.cn/challenges#[HCTF%202018]WarmUphttps://buuoj.cn/challenges#%5BHCTF%202018%5DWarmUp

0x02 知识点?

????????isset($name)：判断变量是否存在

??????? is_string($name)：判断变量是否为字符串

??????? in_array($search，$array)：判$search是否在$array数组里

??????? mb_strops($name，start，length)：截取$name字符串中的从start开始的length 长度

??????? mb_strops(haystack，needle)：返回索引；needle指要被搜索的字符串，haystack指要被检查的字符串

启动靶机，发现了一张滑稽图。如下

? F12发现提示source.php，访问

0x03 代码审计

首先分析最后的if语句

?可以看出，接收file里的参数来调用checkFile函数；并且当函数为true的时候执行include

接下来分析checkFile函数的内容

class emmm
     {
         public static function checkFile(&$page)
 
         {
             //白名单列表
             $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            //isset()判断变量是否存在
            //is_string()判断变量是否是字符串
             if (! isset($page) || !is_string($page)) {
                 echo "you can't see it A";
                 return false;
             }
             //检测传进来的值是否匹配白名单列表$whitelist
             if (in_array($page, $whitelist)) {
                 return true;
             }
             //过滤问号的函数
             $_page = mb_substr(
                 $page,
                 0,
                 mb_strpos($page . '?', '?')//返回$page中第一个?的索引
             );
 
              //检测传进来的值是否匹配白名单列表$whitelist
             if (in_array($_page, $whitelist)) {
                 return true;
             }
             //url对$page解码
             $_page = urldecode($page);
 
             //过滤问号的函数
             $_page = mb_substr(
                 $_page,
                 0,
                 mb_strpos($_page . '?', '?')
             );
             if (in_array($_page, $whitelist)) { //检测传进来的值是否匹配白名单列表
                 return true;
             }
             echo "you can't see it";
             return false;
         }
     }

???? 可分为两块分析

分析：

第一个$whitelist主要是把source.php和hint.php列入白名单列表里

第一个if判断变量是否存在或者是否为字符

第二个if判断变量是否在数组里

之后截取?之前的函数，返回索引，而$page有与?拼接，实际就是$_page=$page

在这里出现了一个hint.php，尝试访问猜测ffffllllaaaagggg可能包含flag

$_page放入白名单里检测，是否存在；之后进行了一次解码，又进行了一次截取放入白名单里检测。

总体上checkFile一共查看三次是否在白名单中，截取两次?前的字符，进行一次url解码

?整体利用的漏洞就是代码最后的include函数，利用文件包含漏洞
因此，最后的if条件语句是关键，即需要满足if(true && true && true)，才会执行include函数，否则输出滑稽图。
emmm::checkFile($_REQUEST['file']满足true，需要执行emmm类中的checkFile函数，使得该函数最终返回true才可以