[PHP知识库]无参数读文件和RCE

题目背景：长安战疫杯的RCE_No_Para

代码解析：

preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])

preg_replace是执行正则搜索，如果搜索到则替换为空。

\W是匹配非数字、字母、下划线，?[^\W]则是非\W的东西，即数字、字母、下划线，相当于小写的\w。

正则表达式 – 元字符 | 菜鸟教程?

然后难点是(?R)?，意思为递归整个匹配模式。

举个例子：

a()? ? ? #递归零次

a(b())? ? ?#递归一次

a(b(c)())? ?#递归两次

上面这些都可以被匹配到

所以该正则的含义是将匹配到的数字、字母、下划线替换为空，内部可以无限嵌套相同的模式，最后是否剩下;

做着题的时候也只是想到利用

?c=highlight_file(next(array_reverse(scandir(pos(localeconv())))));这种方式来

(详解在另一篇博客，ctfshow 命令执行的web40)

但是scandir被禁用了，想着想着换成getcwd试试，不过这个函数只返回路径

然后找着php文档搜函数，期间搜到过get_defined_vars()，发现有个返回全局get变量的地方，但是不会用.......

最后还是看了师傅们的wp得了正确的解法：?

利用get_defined_vars()函数返回可控的值。

该函数会返回全局变量的值，get、post、cookie...的数据?

有一个要注意的点，因为a=>phpinfo()是在GET这个数组里面，所以用pos取两次数组得得到值。

PHP pos() 函数 | 菜鸟教程

第一次，取出GET数组：

第二次，在GET数组中取出a的值：

?

到这里差不多就ok了，既然这个phpinfo()可控，pos(pos(get_defined_vars()));又可以过正则，那我们直接把phpinfo()换成system执行命令就好了。

payload：

?a=system('cat flag.php');&code=eval(pos(pos(get_defined_vars())));

?

?

?

?