<?php
error_reporting(0);
highlight_file(__FILE__);
function check($input){
    if(preg_match("/'| |_|php|;|~|\\^|\\+|eval|{|}/i",$input)){
        // if(preg_match("/'| |_|=|php/",$input)){
        die('hacker!!!');
    }else{
        return $input;
    }
}
function waf($input){
  if(is_array($input)){
      foreach($input as $key=>$output){
          $input[$key] = waf($output);
      }
  }else{
      $input = check($input);
  }
}
$dir = 'sandbox/' . md5($_SERVER['REMOTE_ADDR']) . '/';
if(!file_exists($dir)){
    mkdir($dir);
}
switch($_GET["action"] ?? "") {
    case 'pwd':
        echo $dir;
        break;
    case 'upload':
        $data = $_GET["data"] ?? "";
        waf($data);
        file_put_contents("$dir" . "index.php", $data);
}
?>

代码审查，参数action控制两个模式，当action=upload的时候会将参数data的值进行过滤并且作为file_put_contents的第三个参数，可以试试输入123的时候是个什么效果，我查资料发现这个函数的第三个参数具体用法是啥我也不知道

当action=pwd的时候，他会输出目录给我们。

一开始两个问号是个啥我也不晓得，查了一下

？？是php7新推出来的表达式，有利于简便三元运算符

例:
$example=$_GET['web']??0;
相当于
$example=$_GET['web']?$_GET['web']:0; 

意思就是如果web参数如果存在则返回本身，否则返回0

function check($input){
    if(preg_match("/'| |_|php|;|~|\\^|\\+|eval|{|}/i",$input)){
        // if(preg_match("/'| |_|=|php/",$input)){
        die('hacker!!!');
    }else{
        return $input;
    }
}
function waf($input){
  if(is_array($input)){
      foreach($input as $key=>$output){
          $input[$key] = waf($output);
      }
  }else{
      $input = check($input);
  }
}

可以发现这是对data参数的过滤防护，过滤了php，eval，花括号等，其实这些过滤内容有点提示我们要用php标签，但是php，eval，空格这些都被过滤掉了，这时候就有新东西学习了

反引号执行系统命令，以及php短标签

PHP: 执行运算符 - Manual就像如果我们要执行ls命令，通常我们都是system('ls');但是有了反引号，我们直接`ls`即可执行，是不是方便多了，但是要开一个默认选项(默认都是打开的),并且不能在双引号字符中使用

php中的短标签  https://www.jb51.net/article/112327.htm

<?$a?>相当于<?php?>
<?=$a?>相当于<?php echo $a?>还省略了eval需要的分号

因此我们思路就是，当切换在upload模式的时候，我们可以控制data参数传入php表达式看看效果，然后切换到pwd模式获取路径进入到下面去看看

成功回显1234，有点渲染那味了

构造action=upload&data=<?=`ls`?>,因为空格被过滤了，我们可以利用水平制符\t来代替空格

继续执行命令即可 

免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：mmqy2019@163.com进行举报，并提供相关证据，查实之后，将立刻删除涉嫌侵权内容。

猜你喜欢

• PHP字符串逃逸情况有几种，原理是什么

  这篇文章主要为大家详细介绍了php反序列化之字符串逃逸，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下，希望能够给你带来帮助

• PhpStorm编辑器中能找回删除文件吗，怎样恢复

  打开phpstorm，找到菜单栏“view”；找到Recent Changes；找到Deleting的那行，这就是刚刚删除的文件；确认下文件是否是刚刚删除的文件；点击Revert进行恢复；最后到文件列表看下，文件是否恢复。

• Yii框架的应用组件如何定义、创建及使用

  这篇文章主要介绍了Yii框架学习笔记之应用组件操作,结合实例形式分析了Yii框架自定义组件的创建与使用相关操作技巧,需要的朋友可以参考下

• PHP引用取消和引用定位的代码是什么

  取消引用当unset一个引用，只是断开了变量名和变量内容之间的绑定。这并不意味着变量内容被销毁了。例如：<?php$a=1;$b=&$a;unset($a);?>不会unset&...

• PHP中计算n的阶乘用递归和循环的方法怎样做

  php中n阶乘的实现方法：1、普通递归实现，根据递归的通用公式fact(n) = n * fact(n-1)很容易写出阶乘的计算代码。2、普通循环实现，有些动态规划的味道，但由于中间态变量使用频率低，不需要额外存储空间。