今天一大早BugkuCTF 的welcome to bugkuctf 就给了我一发暴击：完全不会啊。。。光看源码就发现不知道怎么处理了，于是转向writeup求助。结果发现这是一道非常有营养的题目，赶紧记录一下。
题目链接：http://123.206.87.240:8006/test1/
要点很清晰，首先是三个变量用get方式传进去。（这里password变量不是重点）之后，要用file_get_contents读user变量（这里应为文件），且内容与所给字符串“welcome to the bugkuctf”严格相等。
emm,所以我就卡在了第一个点上，怎样让user文件的内容是“welcome to the bugkuctf”呢？于是php伪协议的第一个惊喜就出现了：php://input,功能上可以读入我们输入的内容，也就是说可以post字符串。（值得注意的是，php://input不能读get方式的传值）
除此之外，我们还有一个重点应该放在源码中提示的hint.php上，其要求是动态include($file),这时，以前用过的一招LFI就重出江湖了：
php://filter/read=convert.base64-encode/resource=hint.php
那么构造完整的url就是：
http://123.206.87.240:8006/test1/?txt=php://input&file=php://filter/read=convert.base64-encode/resource=hint.php
同时要post要求的字符串
返回的内容base64解码一波，如图
当然，这个内容肯定不太够，所以我们尝试看看index.php是否有其他的内容
得到的完整源码如下：
<?php
class Flag{//flag.php
public $file;
public function __tostring(){
if(isset($this->file)){
echo file_get_contents($this->file);
echo "<br>";
return ("good");
}
}
}
?>
<?php
$txt = $_GET["txt"];
$file = $_GET["file"];
$password = $_GET["password"];
if(isset($txt)&&(file_get_contents($txt,'r')==="welcome to the bugkuctf")){
echo "hello friend!<br>";
if(preg_match("/flag/",$file)){
echo "不能现在就给你flag哦";
exit();
}else{
include($file);
$password = unserialize($password);
echo $password;
}
}else{
echo "you are not the number of bugku ! ";
}
<!--
$user = $_GET["txt"];
$file = $_GET["file"];
$pass = $_GET["password"];
if(isset($user)&&(file_get_contents($user,'r')==="welcome to the bugkuctf")){
echo "hello admin!<br>";
include($file); //hint.php
}else{
echo "you are not admin ! ";
}
-->
?>
从源码才看出来网页源码给出的内容基本是唬人的，，，本来就是读的txt变量满足文件内容与welcome to the bugkuctf相等。。。但是思路确实是完全一致的。
而完整源码给我们的信息量就非常全面了，但是我自己迟迟没有找到要点。这里其实可以注意，我们能传的值只剩下password了，前面的file与txt都已经有了确定的值，那么思路就只需传password了。
password满足那些要求呢？且，源码中给出了关键提示的flag.php要怎么读呢？这里就涉及到几个关键要素：
1.file不能直接读flag.php，因为它正则匹配flag,所以无法令file=flag.php
2.但是，如果file文件名没有flag,就可以读file,传password并进行反序列化，最后以字符串形式输出password。
3.Flag类里面有一个魔术方法（貌似类似面向对象里面的构造方法），只要调用了flag类变量就会自动执行。方法的作用是什么呢？就是读出file的内容。
所以思路一下就非常清楚了：首先，txt传跟之前一样的值，file因为只是辅助的作用所以文件名叫hint.php就满足要求了。而为了读出flag.php内容，我们只需对password下手：password如果是flag类型变量，那么我们初始化时就会读出password变量的file属性，只要让这个file属性值为flag.php不就可以了吗？所以，最后一步只用把我们的想法用脚本付诸实践，以解决序列化的问题：
总之，感觉自己的php还有很多要学，自己半吊子的自学还是差了口气。同时，php://用太多妙用了，日后有机会一定更新文章专门总结一下。
