buuctf warmup 超详细

1.代码审计：

2.逻辑分析

3.总结分析

4.分析记录

5.疑点解答

1.代码审计：

<?php
    highlight_file(__FILE__);
    class emmm                          //定义了一个类
    {
        public static function checkFile(&$page)          类里面又申明创建了一个函数
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"]; //创建了一个白名单字典，在php当中字典就是一种具有映射关系的数组。
            if (! isset($page) || !is_string($page)) {    //如果没有设置page的值或者说page不是字符串，那么就return 为假
			
                echo "you can't see it";                    
                return false;
            }

            if (in_array($page, $whitelist)) {   //使用in_array函数，判断某个元素是否在数组当中，这里是字典的话，就是判断某个值是否在数组当中存在，注意，字典只会判断某个值
												//是否在字典当中存在，也就是说查找的是值，而不是键				
                return true;                     //返回真
            }

            $_page = mb_substr(              //mb_substr和substr的功能大致都是一致的，用来截取子串，但是mb有个特点就是，它可以指定字符编码，在处理非英文字符时会比较好
			                                 //substr(主串,start,length) ，start为开始下标，从0开始
                $page,
                0,
                mb_strpos($page . '?', '?')       //strpos用来查找指定字符在主串当中第一次出现的下标位置，strpos(主串,要查找的字符,可选参数，起始下标)
            );
            if (in_array($_page, $whitelist)) {
                return true;                     //返回真
            }

            $_page = urldecode($page);          //url解码之后的参数赋值给一个新的变量
            $_page = mb_substr(
                $_page,                       
                0,
                mb_strpos($_page . '?', '?')        // 先把原有的参数和？进行拼接，再查找？的序号
            );
            if (in_array($_page, $whitelist)) {       判断page的值是否在whilelist这个字典的值当中存在，注意是只查找值不是键
                return true;                       // return 真
            }
            echo "you can't see it";
            return false;                        //否则返回假
        }
    }

    if (! empty($_REQUEST['file'])                  //主题部分，通过file传递参数非空并且file的值为字符串并且对file调用上面类中的方法返回值为真
	                                               //这三个条件同时满足，才会进入到下一步
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];            //把传入的字符串进行文件包含，include函数会把一个文件包含进来并且执行就是说我们要传递的file是一个文件名或者说是服务器当中的一个文件路径更加准确，然后这里会把它
		//就是说我们要传递的file是一个文件名或者说是服务器当中的一个文件路径更加准确，然后这里会把它
         exit;								//进行包含进来。本题的关键就是在这里，就是通过传递文件名，进行文件包含，包含存在flag的文件，那么我们就可以得到flag了
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

2.逻辑分析

我们通过在get请求当中构造file参数，参数得是字符串，还要满足check函数，才会执行下面的内容，把文件给包含执行进来
根据提示找到flag信息但是直接访问不行因为进入到check函数会执行到最后返回flase

所以说给的flag信息路径应该不是直接访问的，应该存在着某种相对路径

但是我们构造的路径当中还要包含白名单当中的内容才可以返回true
check函数有很多种可能会返回真值，所以要进行构造
但是直接拼接../../../不行不满足true
所以在前面加上source试试还是不行，考虑他这里check函数会在尾部拼接问号，但是直接在尾部拼接问号在结合strpos和substr得到的还是原来的字符串
每一个if都会判断是不是在白名单当中，必须要在白名单当中才会返回true ，又因为他有strpos函数去定位？的位置再去截取之后再判断
所以我们可以构造一个？使得它在被截取之后是白名单的内容
所以尝试自己构造问号 source.php？../../ffffllllaaaagggg

这样的话再执行check函数的时候
这里可以返回true

3.总结分析

涉及到的代码审计，而且比较考验思维，还有就是要熟悉php的常见函数

4.分析记录

<?php
    highlight_file(__FILE__);
    class emmm                          //定义了一个类
    {
        public static function checkFile(&$page)          类里面又申明创建了一个函数
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"]; //创建了一个白名单字典，在php当中字典就是一种具有映射关系的数组。
            if (! isset($page) || !is_string($page)) {    //如果没有设置page的值或者说page不是字符串，那么就return 为假

                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {   //使用in_array函数，判断某个元素是否在数组当中，这里是字典的话，就是判断某个值是否在数组当中存在，注意，字典只会判断某个值
                                               //是否在字典当中存在，也就是说查找的是值，而不是键
                return true;                     //返回真
            }

            $_page = mb_substr(              //mb_substr和substr的功能大致都是一致的，用来截取子串，但是mb有个特点就是，它可以指定字符编码，在处理非英文字符时会比较好
                                             //substr(主串,start,length) ，start为开始下标，从0开始
                $page,
                0,
                mb_strpos($page . '?', '?')       //strpos用来查找指定字符在主串当中第一次出现的下标位置，strpos(主串,要查找的字符,可选参数，起始下标)
            );
            if (in_array($_page, $whitelist)) {
                return true;                     //返回真
            }

            $_page = urldecode($page);          //url解码之后的参数赋值给一个新的变量
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')        // 先把原有的参数和？进行拼接，再查找？的序号
            );
            if (in_array($_page, $whitelist)) {       判断page的值是否在whilelist这个字典的值当中存在，注意是只查找值不是键
                return true;                       // return 真
            }
            echo "you can't see it";
            return false;                        //否则返回假
        }
    }

    if (! empty($_REQUEST['file'])                  //主题部分，通过file传递参数非空并且file的值为字符串并且对file调用上面类中的方法返回值为真
                                                   //这三个条件同时满足，才会进入到下一步
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];            //把传入的字符串进行文件包含，include函数会把一个文件包含进来并且执行就是说我们要传递的file是一个文件名或者说是服务器当中的一个文件路径更加准确，然后这里会把它
       //就是说我们要传递的file是一个文件名或者说是服务器当中的一个文件路径更加准确，然后这里会把它
         exit;                               //进行包含进来。本题的关键就是在这里，就是通过传递文件名，进行文件包含，包含存在flag的文件，那么我们就可以得到flag了
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }
?>

5.疑点解答

我相信很多人和我会有一个疑问，就是明明page当中有一个问号，那么在文件包含的时候是怎样包含到后面的内容的呢。

我也想了好久，最后了解到一个php当中include、require函数在进行文件包含的时候，有这样一个规则：在PHP中，当使用include函数引入文件时，如果文件路径中包含查询字符串，PHP会忽略查询字符串部分，只解析文件路径部分。那什么是参数当中的路径部分呢？就是只包括文件名称和路径分隔符，或者由他们组成的整体，如果有问号？那么就在？后面查找文件路径，问号就是查询字符串，也就是说只会查找符合格式的文件路径。