buu[HCTF 2018]WarmUp（代码审计）
题目
访问source.php
<?php
highlight_file(__FILE__);
class emmm
{
public static function checkFile(&$page)
{
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];
if (! isset($page) || !is_string($page)) {
echo "you can't see it";
return false;
}
if (in_array($page, $whitelist)) {
return true;
}
$_page = mb_substr(
$page,
0,
mb_strpos($page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
$_page = urldecode($page);
$_page = mb_substr(
$_page,
0,
mb_strpos($_page . '?', '?')
);
if (in_array($_page, $whitelist)) {
return true;
}
echo "you can't see it";
return false;
}
}
if (! empty($_REQUEST['file'])
&& is_string($_REQUEST['file'])
&& emmm::checkFile($_REQUEST['file'])
) {
include $_REQUEST['file'];
exit;
} else {
echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
}
?>
分析
可以看到checkfile里面有4个if，第一个if不能进去进去就false；
后面三个if要进去一个，不然执行结束返回false;
下面的文件包含前的判断条件要三个都为真才能包含
然后通过白名单可以知道有两个文件，我们访问一下hint.php
得到一个flag所在的文件
让我们分析一下代码：
if (! isset($page) || !is_string($page)) {
echo "you can't see it";
return false;
}
//这个if不进去很简单
if (in_array($page, $whitelist)) {
return true;
}
//这个if进不去，我们传的$page肯定不符合白名单
$_page = mb_substr(
$page,
0,
mb_strpos($page . '?', '?')
);
//这段代码的意思就是 将第一个？之前的内容截取出来，注意不包括这个问号
//而且可以发现的是这里不再是原封不动的$page拿来比较
if (in_array($_page, $whitelist)) {
return true;
}
//拿$_page去比较是否匹配白名单，注意这里是截取过.
//可以向办法进入这个if
$_page = urldecode($page);
$_page = mb_substr(
$_page,
0,
mb_strpos($_page . '?', '?')
);
//先将$page解码再截取
if (in_array($_page, $whitelist)) {
return true;
}
//同样这里可以想办法进入这个if
echo "you can't see it";
return false;
//之前没有进入任何if去返回值就失败了
在这个URL中，http://url/source.php?file=hint.php?../../../../../ffffllllaaaagggg，包含了两个参数：file 和 ../../../../../ffffllllaaaagggg。
通常，URL中的参数是用?来分隔的，而参数之间则用&符号来分隔。在这个URL中，file是参数名，hint.php?../../../../../ffffllllaaaagggg是参数值。
现在让我们来解释一下这个参数值 hint.php?../../../../../ffffllllaaaagggg 的含义：
hint.php：这部分是文件名，表明了要访问的文件是hint.php。?：在URL中，?符号通常用来分隔参数名和参数值。在这个特定的情况下，?可能被用来分隔文件名和查询字符串，以向hint.php传递额外的参数。../../../../../ffffllllaaaagggg：这部分是查询字符串，它以?开头。在UNIX和类似系统中，../用来表示上级目录，因此这个查询字符串看起来是在尝试向hint.php传递参数ffffllllaaaagggg，同时在路径中向上跳了多个目录。
总结一下，这个URL中的hint.php?../../../../../ffffllllaaaagggg可能是尝试访问hint.php文件，并向它传递了一个查询字符串参数，同时尝试在文件路径中向上跳转多层目录。
需要注意的是，?符号在URL中通常用来分隔参数名和参数值。在这个特定的情况下，?后面的内容被认为是查询字符串，它可能被hint.php用来解析和处理。然而，具体的含义和行为取决于服务器端对URL的处理方式。
此题？应该是用来绕过白名单所加
网上有两种解释，结合起来看更容易理解
1、tips:include函数有这么一个神奇的功能：以字符‘/’分隔（而且不计个数），若是在前面的字符串所代表的文件无法被PHP找到，则PHP会自动包含‘/’后面的文件——注意是最后一个‘/’。
2、如果我们的file变量为source.php?../…/…/…/…/ffffllllaaaagggg,先截取 ？ 号前字符串白名单验证也就是 source.php，符合，返回ture，然后服务器访问时访问 source.php? 文件不存在，目录穿越至ffffllllaaaagggg，得到我们要的flag。至于为什么需要四个…/，可以一个个增加多次尝试。（source或hint都可）
方法一
一次编码，进入第三个if
方法二
使用urldecode会出现一个问题，假如我将一个字符使用url编码了两遍然后传入的时候，首先浏览器解码了一遍，接下来才是urlencode解码，所以使用两次urlencode，绕过前面的if，进入第四个if
