利用Opcache缓存RCE以及"/."trick

最新推荐文章于 2023-12-21 11:09:30 发布

young9222

最新推荐文章于 2023-12-21 11:09:30 发布

阅读量687

点赞数

CC 4.0 BY-SA版权

分类专栏： php ctfweb 文章标签： php

本文链接：https://blog.youkuaiyun.com/u013457794/article/details/88998740

本文介绍了如何利用Opcache实现远程代码执行（RCE）。通过理解PHP路径处理原理，利用"."技巧绕过后缀名过滤，结合Opcache的缓存特性，创建和覆盖index.php，最终达成RCE。同时，文章还探讨了Opcache的工作原理，解释了为何启用Opcache能提升PHP性能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

2019年3月21日10:20:01

源码：

	<?php
	error_reporting(0);
	
	$dir = 'sandbox/' . sha1($_SERVER['REMOTE_ADDR']) . '/';
	if(!file_exists($dir)){
	  mkdir($dir);
	}
	if(!file_exists($dir . "index.php")){
	  touch($dir . "index.php");
	}
	
	function clear($dir)
	{
	  if(!is_dir($dir)){
	    unlink($dir);
	    return;
	  }
	  foreach (scandir($dir) as $file) {
	    if (in_array($file, [".", ".."])) {
	      continue;
	    }
	    unlink($dir . $file);
	  }
	  rmdir($dir);
	}
	
	switch ($_GET["action"] ?? "") {
	  case 'pwd':
	    echo $dir;
	    break;
	  case 'phpinfo':
	    echo file_get_contents("phpinfo.txt");
	    break;
	  case 'reset':
	    clear($dir);
	    break;
	  case 'time':
	    echo time();
	    break;
	  case 'upload':
	    if (!isset($_GET["name"]) || !isset($_FILES['file'])) {
	      break;
	    }
	
	    if ($_FILES['file']['size'] > 100000) {
	      clear($dir);
	      break;
	    }
	
	    $name = $dir . $_GET["name"];
	    if (preg_match("/[^a-zA-Z0-9.\/]/", $name) ||
	      stristr(pathinfo($name)["extension"], "h")) {
	      break;
	    }
	    move_uploaded_file($_FILES['file']['tmp_name'], $name);
	    $size = 0;
	    foreach (scandir($dir) as $file) {
	      if (in_array($file, [".", ".."])) {
	        continue;
	      }
	      $size += filesiz