一道ISCC题引申的PHP正则复习-阿里云开发者社区

开发者社区> 云勺> 正文

一道ISCC题引申的PHP正则复习

简介: iscc中的一道web题“试试看”,描述为随意开火 image.png 起初看url,以为是一道常规的文件包含题,后面试了很多方法都出不来 最后受到其他师傅的启发才得到payload 这里有两种payload都可以 http://118.
+关注继续查看

iscc中的一道web题“试试看”,描述为随意开火


image.png

起初看url,以为是一道常规的文件包含题,后面试了很多方法都出不来
最后受到其他师傅的启发才得到payload
这里有两种payload都可以

http://118.190.152.202:8006/show.php?img=php://filter/resource=1.jpg/resource=show.php
http://118.190.152.202:8006/show.php?img=php://filter/resource=show.php|jpg
image.png

image.png

对这道题目的匹配规则很感兴趣,在本地搭建进行仔细分析,也是对正则以及php函数的复习
在审计代码之前,先复习一下php的preg_match、strpos和file_get_contents等函数

1、preg_match函数用于正则匹配,第一个参数是要匹配的正则规则,第二个参数是被匹配的字符串。后面的可选参数中,$matches是一个数组,用于返回匹配的字符串结果

# preg_match
(PHP 4, PHP 5, PHP 7)
preg_match — 执行匹配正则表达式
### 说明
int **preg_match** ( string `$pattern` , string `$subject` [, array `&$matches` [, int `$flags` = 0 [, int`$offset` = 0 ]]] )
搜索`subject`与`pattern`给定的正则表达式的一个匹配.

2、strpos函数用于字符串查找,如果找到则返回位置,位置从0开始计算。如果没有找到则返回false

# strpos
(PHP 4, PHP 5, PHP 7)
strpos — 查找字符串首次出现的位置
### 说明
int **strpos** ( string `$haystack` , [mixed]`$needle` [, int `$offset` = 0 ] )
返回 `needle` 在 `haystack` 中首次出现的数字位置。
如果提供了参数matches,它将被填充为搜索结果。 $matches[0]将包含完整模式匹配到的文本, $matches[1] 将包含第一个捕获子组匹配到的文本,以此类推。

3、file_get_contents函数用于文本读取,可以获得文件内容,它更强大的地方在于可以通过http协议抓取内容

# file_get_contents
(PHP 4 >= 4.3.0, PHP 5, PHP 7)
file_get_contents — 将整个文件读入一个字符串
### 说明
string **file_get_contents** ( string `$filename` [, bool `$use_include_path` = false [, resource`$context` [, int `$offset` = -1 [, int `$maxlen` ]]]] )

和 file()一样,只除了 **file_get_contents()** 把文件读入一个字符串。将在参数 `offset` 所指定的位置开始读取长度为`maxlen` 的内容。如果失败,**file_get_contents()** 将返回 **`FALSE`**。

**file_get_contents()** 函数是用来将文件的内容读入到一个字符串中的首选方法。如果操作系统支持还会使用内存映射技术来增强性能。
> **Note**:
> 
> 如果要打开有特殊字符的 URL (比如说有空格),就需要使用 [urlencode()]进行 URL 编码。

本题中,经过注释和改造后的主要代码如下

show.php
<?php
error_reporting(0);
ini_set('display_errors','Off');

include('config.php');

$img = $_GET['img'];
if(isset($img) && !empty($img))
{
    if(strpos($img,'jpg') !== false)
    {        
        // strpos拿'resource='到$img中查找,如果匹配到了则前者为真;注意这里是全等
        // 如果没有匹配到'/resource=.*jpg/i'正则模式则后者为真;
        if(strpos($img,'resource=') !== false && preg_match('/resource=.*jpg/i',$img) === 0)
        {
            //满足上述两种情况,返回找不到文件
            die('File not found.');
        }
        // 再次进行正则匹配,如果以php://filter开头,并且字符串中存在resource=加上任意不包含|的字符串
        // 对$img进行左右两边空白或者预定符号的删除,最后匹配结果存到$matches数组
        preg_match('/^php:\/\/filter.*resource=([^|]*)/i',trim($img),$matches);
        // $matches[0]将包含完整模式匹配到的文本, $matches[1] 将包含第一个捕获子组匹配到的文本,以此类推。
        var_dump($matches);
        if(isset($matches[1]))
        {
            $img = $matches[1];
        }
        echo "<br>";
        echo $img;
        header('Content-Type: image/jpeg');
        // 关键函数get_contents,去获得文件内容
        $data = get_contents($img);
        echo $data;
    }
    else
    {
        die('File not found.');
    }

}
else
{
    ?>
    <img src="1.jpg">
    <?php
}
?>    
config.php
<?php  
// 关键函数get_contents,去获得文件内容
function get_contents($img)
{
    // 如果$img中存在'jpg',返回$img文件内容
    if(strpos($img,'jpg') !== false)
    {
        return file_get_contents($img);
    }
    // 否则返回$img的同时,设置返回头为hmtl
    else
    {
        header('Content-Type: text/html');
        return file_get_contents($img);
    }
}
?>  

这里通过实际payload在执行中的流程,对关键地方进行输出,方便分析和查看结果

0x01

首先分析show.php?img=php://filter/resource=config.php|jpg

逻辑中的第一个涉及preg_match的if语句中,只有在传入的$img中匹配到"resource="的同时,preg_match中$img匹配规则"/resource=.*jpg/i"匹配不到的情况下成立
在这里不会对payload形成影响
关键点在接下来的正则匹配

// 再次进行正则匹配,如果以php://filter开头,并且字符串中存在resource=加上任意不包含|的字符串
        // 对$img进行左右两边空白或者预定符号的删除,最后匹配结果存到$matches数组
        preg_match('/^php:\/\/filter.*resource=([^|]*)/i',trim($img),$matches);
        // $matches[0]将包含完整模式匹配到的文本, $matches[1] 将包含第一个捕获子组匹配到的文本,以此类推。
        var_dump($matches);
        if(isset($matches[1]))
        {
            $img = $matches[1];
        }
        echo "<br>";
        echo $img;
        // header('Content-Type: image/jpeg');
        // 关键函数get_contents,去获得文件内容
        $data = get_contents($img);
        echo $data;

可以看到,匹配规则是要求以php://filter开头,并且字符串中存在resource=加上任意不包含|的字符串
([^|]*)代表的意思就是排除|以外的字符,允许重复零次或多次,圆括号包裹则表示这是一个匹配的文本子组
匹配的结果保存在$matches数组中,并且$img会被覆盖为$matches的第2个元素
这里的关键在于$matches的第二个元素内容,第二个元素内容是圆括号包裹的([^|]*)子组的内容

image.png

经过正则后,$img已经被覆盖,内容为config.php
在config.php中,将通过函数file_get_contents($img)去获取指定文件内容并且返回

    // 如果$img中存在'jpg',返回$img文件内容
    if(strpos($img,'jpg') !== false)
    {
        return file_get_contents($img);
    }
    // 否则返回$img的同时,设置返回头为hmtl
    else
    {
        header('Content-Type: text/html');
        return file_get_contents($img);
    }
0x02

接下来分析show.php?img=php://filter/resource=1.jpg/resource=config.php
其他流程和上面的一样,只要字符串中包含jpg就可以,关键在于

preg_match('/^php:\/\/filter.*resource=([^|]*)/i',trim($img),$matches);

payload进去之后的匹配结果将是后面一个resource=config.php,而不是resource=1.jpg,因此拿到的$matches的第二个元素也是config.php!

image.png

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
使用NAT网关轻松为单台云服务器设置多个公网IP
在应用中,有时会遇到用户询问如何使单台云服务器具备多个公网IP的问题。 具体如何操作呢,有了NAT网关这个也不是难题。
26786 0
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
10069 0
windows server 2008阿里云ECS服务器安全设置
最近我们Sinesafe安全公司在为客户使用阿里云ecs服务器做安全的过程中,发现服务器基础安全性都没有做。为了为站长们提供更加有效的安全基础解决方案,我们Sinesafe将对阿里云服务器win2008 系统进行基础安全部署实战过程! 比较重要的几部分 1.
9157 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
13879 0
腾讯云服务器 设置ngxin + fastdfs +tomcat 开机自启动
在tomcat中新建一个可以启动的 .sh 脚本文件 /usr/local/tomcat7/bin/ export JAVA_HOME=/usr/local/java/jdk7 export PATH=$JAVA_HOME/bin/:$PATH export CLASSPATH=.
4654 0
阿里云ECS云服务器初始化设置教程方法
阿里云ECS云服务器初始化是指将云服务器系统恢复到最初状态的过程,阿里云的服务器初始化是通过更换系统盘来实现的,是免费的,阿里云百科网分享服务器初始化教程: 服务器初始化教程方法 本文的服务器初始化是指将ECS云服务器系统恢复到最初状态,服务器中的数据也会被清空,所以初始化之前一定要先备份好。
7361 0
阿里云服务器ECS登录用户名是什么?系统不同默认账号也不同
阿里云服务器Windows系统默认用户名administrator,Linux镜像服务器用户名root
4499 0
+关注
云勺
一只[开发|安全|运维]汪? 个人博客https://www.yourhome.ren
30
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载