xff_referer
进来之后显示ip地址必须为123.123.123.123
抓包看一下
要求ip是123.123.123.123
就可以用xff伪造即X-Forwarded-For: 123.123.123.123
得到显示:
说必须来自google,伪造referer Referer: https://www.google.com
我的要在右边的 inspector中加才可以
得到flag
http请求头中Referer的含义和作用_referer头的作用_小刘学安卓的博客-CSDN博客
这里引用一篇大佬的博客给大家解释Referer是什么
web2
这段代码主要是一个使用逆向加密算法的 PHP 脚本
下面来解析一下:
<?php
$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";//定义了一个变量 $miwen,它包含了一个加密后的字符串function encode($str){//定义了一个名为 encode 的函数,该函数接受一个字符串作为参数并返回加密后的结果
$_o=strrev($str);//通过 strrev 函数对输入字符串进行反转操作,将其赋值给变量 $_o
// echo $_o;
for($_0=0;$_0<strlen($_o);$_0++){//使用一个 for 循环遍历 $_o 中的每个字符
$_c=substr($_o,$_0,1);//使用 substr 函数从 $_o 中取出当前位置的字符,并将其赋值给变量 $_c
$__=ord($_c)+1;//通过 ord 函数获取 $_c 的 ASCII 值,并将其加一
$_c=chr($__);//使用 chr 函数将加一后的 ASCII 值转换为对应的字符,并将其赋值给 $_c
$_=$_.$_c; // $_c 添加到变量 $_ 的末尾
}
return str_rot13(strrev(base64_encode($_)));//使用 base64_encode 函数进行 Base64 编码,然后使用 strrev 函数进行反转,最后使用 str_rot13 函数进行 ROT13 编码
}highlight_file(__FILE__);//这行代码用于在浏览器中显示当前文件的源代码
/*
逆向加密算法,解密$miwen就是flag
*/
?>
先时将flag字符串逆序,
然后每一个ascii码数值+1,
然后base64加密,
然后逆序,
然后再rot13加密
得到加密的密文:a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws
根据这个思路把他反过来就可以了
<?php
$miwen="a1zLbgQsCESEIqRLwuQAyMwLyq2L5VwBxqGA3RQAyumZ0tmMvSGM2ZwB4tws";//定义了变量 $miwen,其中包含了经过加密的密文字符串
$miwen=base64_decode(strrev(str_rot13($miwen)));//使用 str_rot13 函数进行 ROT13 解码,然后使用 strrev 函数对解码后的字符串进行反转
//echo $miwen;
$m=$miwen;//将解密后的字符串赋值给变量 $m
for($i=0;$i<strlen($m);$i++){//使用一个 for 循环遍历 $m 中的每个字符
$_c=substr($m,$i,1);//使用 substr 函数从 $m 中取出当前位置的字符,并将其赋值给变量 $_c
$__=ord($_c)-1//使用 ord 函数将 $_c 转换为对应的 ASCII 值,并将其减一
$__=chr($__);//chr 函数将减一后的 ASCII 值转换为对应的字符,并将其添加到变量 $_ 的末尾
$_=$_.$__;//使用 strrev 函数对 $_ 进行反转操作
}
echo strrev($_);//反转字符串
?>
得到flag
warmup
查看源代码得到:
<?php
highlight_file(__FILE__);
class emmm
{
public static function checkFile(&$page)//定义了一个名为 emmm 的类,其中包含了一个静态方法 checkFile,该方法用于检查指定文件是否在白名单中定义了一个白名单数组 $whitelist,其中包含了允许包含的文件名
{
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];//定义了一个白名单数组 $whitelist,其中包含了允许包含的文件名
if (! isset($page) || !is_string($page)) {
echo "you can't see it";
return false;//检查传入的 $page 参数是否存在且为字符串类型,如果不存在或者不是字符串类型,则输出 "you can't see it" 并返回 false
}if (in_array($page, $whitelist)) {
return true;//$page 在白名单中,则直接返回 true
}$_page = mb_substr(
$page,
0,
mb_strpos($page . '?', '?')
);//使用 mb_substr 和 mb_strpos 函数对 $page 进行处理,去除可能存在的查询字符串部分
if (in_array($_page, $whitelist)) {
return true;
}$_page = urldecode($page);
$_page = mb_substr(
$_page,
0,
mb_strpos($_page . '?', '?')
);//使用 urldecode 函数对 $page 进行解码,并再次使用 mb_substr 和 mb_strpos 函数处理 $_page
if (in_array($_page, $whitelist)) {
return true;
}
echo "you can't see it";
return false;
}
}if (! empty($_REQUEST['file'])
&& is_string($_REQUEST['file'])//首先检查是否存在名为 file 的请求参数,并且该参数是一个字符串类型
&& emmm::checkFile($_REQUEST['file'])
) {
include $_REQUEST['file'];
exit;//如果满足条件,并且通过 emmm::checkFile 方法检查文件名是否在白名单中,则使用 include 函数包含指定的文件,并终止脚本执行
} else {
echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";//如果条件不满足,则输出一张图片,并显示 "you can't see it"
}
?>
进入hint.php
输入这个文件发现被限制了
构造payload有三个条件:
第一个:检查一个变量是否为空
第二个:是否为字符串
第三个:通过函数checkFile来检查
这个函数是分三步来检查是否满足白名单的
只要我们传的参数是source.php或者hint.php则返回真(因为这一步写死了参数只能为白名单的值,所以无法利用)
如果满足继续往下判断
看mb_strpos的第一个参数是:$page.'?',这结果就是在参数后面拼接一个'?'
接着第二个参数'?',就是要查找第一个参数字符串中首次出现'?'的下标,如下图
获得下标就是为了利用mb_substr提取page参数中第一个?前面的字符串
如果还满足继续往下判断
先把传进的参数做urldecode
接着就和第二步一样
都不满足就输出"you can't see it"并且返回假
总结:我们需要得到checkFile函数返回true且需要带上
所以构造payload的时候,就需要一步一步绕过
先绕过第二步:
source.php/?file=hint.php?
绕过第三步:
/../../../../../../ffffllllaaaagggg
用这个的原因:
先看include定义(官方)
重点:
被包含文件先按参数给出的路径寻找,如果没有给出目录(只有文件名)时则按照include_path 指定的目录寻找。
如果定义了路径——不管是绝对路径(在 Windows 下以盘符或者 \ 开头,在 Unix/Linux 下以 / 开头)还是当前目录的相对路径(以 . 或者 .. 开头)——include_path 都会被完全忽略
文章来源地址https://www.uudwc.com/A/JwOxJ/
include_path,简单理解就是类似系统中的PATH环境变量,在文件包含在没有指出路径就会在前面补充这个include_path,从而形成完整的绝对路径
比如:include_path设置为/var/www/,在执行include "flag.txt",路径就是/var/www/flag.txt
由于我们构造的payload:”source.php?/../../../../../../ffffllllaaaagggg“包含路径
所以会忽略include_path直接按照我们路径去寻找。没错虽然这个payload很奇怪但对于include来说就是一个路径,由于不是/开头,所以还是个相对路径,过程如下
假设source.php所在目录为:/1/2/3/4/5/var/www/html/source.php
1、"source.php(或hint.php)?/":进入这个目录,是的哪怕这个目录不存在,因为include会一直尝试到最后才会报错。这样我们当前路径为:"/1/var/www/html/source.php?/"
2、"../":返回上一级,当前目录为"/1/var/www/html/",回到了php所在路径
3、"../":同理,当前路径为"/1/var/www/"
4、"../":同理,当前路径为"/1/var/"
5、"../":同理,当前路径为"/1/"
6、"../":同理,当前路径为"/",回到根目录,最后找到ffffllllaaaagggg这个文件
所以这里可以用/../../../../../../ffffllllaaaagggg来找flag
得到flag
文章来源:https://www.uudwc.com/A/JwOxJ/