[Zer0pts2020]Can you guess it? RCE basename()

最新推荐文章于 2024-09-29 21:15:37 发布

samh1777

最新推荐文章于 2024-09-29 21:15:37 发布

阅读量209

点赞数

分类专栏： buu # web之每日一题文章标签： php

本文链接：https://blog.youkuaiyun.com/Shannidawang/article/details/120323225

版权

buu 同时被 2 个专栏收录

30 篇文章

订阅专栏

web之每日一题

29 篇文章

订阅专栏

这篇博客探讨了一个PHP应用的安全防护问题，重点关注了如何防止恶意访问`config.php`文件。通过分析源码，可以看到程序使用`basename()`函数和正则表达式来阻止直接访问该文件。同时，存在一个源码高亮功能，可能被利用来读取文件。文章提到了利用URL路径和特殊字符 `%ff` 污染来绕过过滤的潜在风险，并给出了相应payload。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

参考链接

源码

<?php
include 'config.php'; // FLAG is defined in config.php

if (preg_match('/config\.php\/*$/i', $_SERVER['PHP_SELF'])) {
  exit("I don't know what you are thinking, but I won't let you read it :)");
}

if (isset($_GET['source'])) {
  highlight_file(basename($_SERVER['PHP_SELF']));
  exit();
}

$secret = bin2hex(random_bytes(64));
if (isset($_POST['guess'])) {
  $guess = (string) $_POST['guess'];
  if (hash_equals($secret, $guess)) {
    $message = 'Congratulations! The flag is: ' . FLAG;
  } else {
    $message = 'Wrong.';
  }
}
?>
<!doctype html>
<html lang="en">
  <head>
    <meta charset="utf-8">
    <title>Can you guess it?</title>
  </head>
  <body>
    <h1>Can you guess it?</h1>
    <p>If your guess is correct, I'll give you the flag.</p>
    <p><a href="?source">Source</a></p>
    <hr>
<?php if (isset($message)) { ?>
    <p><?= $message ?></p>
<?php } ?>
    <form action="index.php" method="POST">
      <input type="text" name="guess">
      <input type="submit">
    </form>
  </body>
</html>

拎出重点这里过滤config 由源码可知flag就在config.php里

if (preg_match('/config\.php\/*$/i', $_SERVER['PHP_SELF'])) {
  exit("I don't know what you are thinking, but I won't let you read it :)");
}

可以发现这里加上了basename() 可能是为了跨目录读文件

if (isset($_GET['source'])) {
  highlight_file(basename($_SERVER['PHP_SELF']));
  exit();
}

当我访问index.php时，我可以在后面加上一些东西，比如/index.php/config.php，这样仍然访问的是index.php，但经过basename()后，传进highlight_file()函数的文件名就变成了config.php
在这里插入图片描述
可以用%0d之类的来污染绕过，这样仍然访问得到index.php:

$_SERVER[‘PHP_SELF’]表示当前执行脚本的文件名，当使用了PATH_INFO时，这个值是可控的。所以可以尝试用/index.php/config.php?source来读取flag。
basename()函数会去掉文件名开头的非ASCII值

var_dump(basename("xffconfig.php")); // => config.php
var_dump(basename("config.php/xff")); // => config.php

在url要输入%ff才行
payload:

index.php/config.php/%ff?source