BUUCTF[HCTF 2018]WarmUp 1题解

分析

启动靶机，进入网址，是一张滑稽的表情包：

程序化F12查看源码：

发现注释内容，访问

url:/source.php

得到下面的源码：

<?phphighlight_file(__FILE__);class emmm{public static function checkFile(&$page){$whitelist = ["source"=>"source.php","hint"=>"hint.php"];if (! isset($page) || !is_string($page)) {echo "you can't see it";return false;}if (in_array($page, $whitelist)) {return true;}$_page = mb_substr($page,0,mb_strpos($page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}$_page = urldecode($page);$_page = mb_substr($_page,0,mb_strpos($_page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}echo "you can't see it";return false;}}if (! empty($_REQUEST['file'])&& is_string($_REQUEST['file'])&& emmm::checkFile($_REQUEST['file'])) {include $_REQUEST['file'];exit;} else {echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";}  
?>

OK，这时候我们可以知道这是一道PHP代码审计题，接下来就是公式化构造payload时间啦!

解题过程

代码审计

主体函数

我们来到了代码审计阶段，先从主体开始：

 if (! empty($_REQUEST['file'])&& is_string($_REQUEST['file'])&& emmm::checkFile($_REQUEST['file'])) {include $_REQUEST['file'];exit;} else {echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";}  

首先：
$_REQUEST 是一个关联数组，包含 $_GET、 $_POST 和 $_COOKIE 的内容
$_REQUEST['file'] 表示从用户请求中获取名为 “file” 的参数值
用途：获取表单数据、URL 参数、Cookie 值等用户输入

if判断了以下几个条件：

• file的值是否不为空
• file的值是否为字符串
• emmm::checkFile(file)的回显是否为1

当上面的所有答案都为是，执行：
include $_REQUEST['file'];
反之，输出滑稽表情包。

接下来我们的任务就是解析emmm::checkFile()函数，以绕过waf条件，访问文件。

CHECK函数：

class emmm{public static function checkFile(&$page){$whitelist = ["source"=>"source.php","hint"=>"hint.php"];if (! isset($page) || !is_string($page)) {echo "you can't see it";return false;}if (in_array($page, $whitelist)) {return true;}$_page = mb_substr($page,0,mb_strpos($page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}$_page = urldecode($page);$_page = mb_substr($_page,0,mb_strpos($_page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}echo "you can't see it";return false;}}

一步一步分析：

 $whitelist = ["source"=>"source.php","hint"=>"hint.php"];

这是一个关联数组，关联数组的主要特点是键值对数组。
键(key)：“source” 和 “hint” - 这些是白名单标识符;
值(value)：“source.php” 和 “hint.php” - 实际允许访问的文件名;

这里我们发现了另一个文件hint.php,是一个提示，访问网址显示：

hint.php提示了flag的文件名。

我们接着分析代码：

 if (! isset($page) || !is_string($page)) {echo "you can't see it";return false;}

上面这段代码这段代码判断参数是否为NULL，是否为字符串。

            if (in_array($page, $whitelist)) {return true;}

上面这段代码判断参数是否在白名单中（即判断参数的值和数组的值是否相同）。

 $_page = mb_substr($page,0,mb_strpos($page . '?', '?'));if (in_array($_page, $whitelist)) {return true;}

mb_strpos($page . '?', '?')：
若$page包含 ?：返回第一个?的位置；
若$page不含?：返回字符串长度。

mb_substr($page, 0, mb_strpos($page . '?', '?'))：
$page：原始输入；
0：起始位置；
mb_strpos($page . '?', '?')：从 mb_strpos() 获取的长度。
这个函数截取了参数从最开始直到第一个?之间的子串，?之后的子串被丢弃。

请注意这段代码，我们考虑是否能够利用函数的特性，在？之后构造一段代码

之后的代码是：解码url，再次判断参数是否在白名单中。

构造payload

/?file=hint.php?/../../../../ffffllllaaaagggg
或
/?file=source.php?/../../../../ffffllllaaaagggg

构造思想主要是在?后加入/，../表示上一级目录，然后一级一级的搜索
所以实际上，payload是一层一层实验出来的。
比如最开始是：

/?file=hint.php?/../ffffllllaaaagggg

发现网页为空，说明该目录中没有目标文件，那么就再尝试上一级目录。
顺便提一下：在原有的payload基础上在加几层都不会影响文件显示，说明这个文件在网站的根目录下

最后的flag是：flag{966bef86-ebda-43d8-8703-8e6a57b211de}

总结

本题考察的是PHP代码阅读能力和常见的目录遍历能力。
本题涉及到的PHP函数整理如下：
mb_strpos($page . '?', '?')： 返回第一次出现?的数组下标
mb_substr($page, 0, mb_strpos($page . '?', '?'))：截取第一个字符到?出现之前的字符（不包括?）
这道题的提示还是比较明显的，难度不是很大，但是对于最后?/../../的构造原理是否有普适性，笔者不解，总的来说也是一道适合入门的题目。