WarmUp

发表于 | 更新于 | 阅读次数：

我可能不配WarmUp

这题是CVE-2018-12613 PhpMyadmin后台文件包含
首先是源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

主函数

首先检查，
第一个是否传入名为file的参数
第二个file是否为字符串
第三个调用emmm的checkFile函数

emm

第一个，对传入的page参数，判断是否设置，并且是否为字符串
第二个，判断page的内容是否在白名单里
第三个，对page中，?前的内容进行截取,并判断?前部分的内容,是否也在白名单中
第四个,对page内容URL解码,之后同三

writeup

目标就是,主函数中的文件包含,需要构造payload,让checkFile函数返回true,且包含flag文件ffffllllaaaagggg.
根据checkFile函数对传入参数?后的内容没有过滤,
payload: file=hint.php?/../../../../../ffffllllaaaagggg
在包含文件时,会把hint.php?当做目录名.