目录
前文
正文
前文
<?php
class A{
public $code=NULL;
public $args=NULL;
public function __construct($code,$args=NULL){
$this->code=$code;
$this->args=$args;
print_r("2333") ;
}
public function __invoke($code,$args){
echo $code;
print_r("执行invoke") ;
}
}
$B=new A(55,66);
$B(33,44);233 333执行invoke说明执行了construct和invoke
throw new A(55, 100);也会对construct进行初始化
然后肯定是从index.php开始出发，php文件不算太多，可以逐个看一下出口也就是能够命令执行获得flag的地方。
最终可以在noitpecxe.php下面找到可疑点，因为这俩参数还是构造函数传进来的，也就是说我们可以通过调用实参来操作。
正文
index.php
<?php
define('block', TRUE);
require("parser/syntaxreader.php");
include("flag.php");
$code = "ohce ohce ohce ohce ohce ohce ohce";
$args = "flag.php,aaa,aaa,highlight_file,orez_lum,orez_vid,syntaxreader";
$result = NULL;
if (!isset($_COOKIE['DEBUG'])){//如果cookie中不存在，DEBUG
$result = new syntaxreader($code, $args);
}
else if (strcmp($_COOKIE['DEBUG'], hash("md5")) == 0) {
echo "Warning: Adming debugging enabled!";
$result = new syntaxreader($code, $args, NULL);
} else {
$debug = array("Debugging Enabled!", 69);
$result = new syntaxreader($code, $args, $debug);
}
$result->run();
?>这里code args是post传参可控，我这里直接把答案先写出来方便理解。
这里肯定会调用 syntaxreader的构造函数，看了一下三者的区别，其实就是末尾的debug传参的问题，第一个if和第二个elseif都是NULL，但是第三个确有值，这是唯一的差别。
syntaxreader.php
public function __construct($lines, $args, $debug = NULL) {
$this->code = explode("\n", $lines);//这里使用\n作为分隔符号，切成数组
$this->args = $args;
$this->result = $result;
if (isset($debug)) {//这里不可能执行到的
// disable debugging mode
throw new noitpecxe(...$debug);
}
}如果debug为true的话那么就可以直接初始化noipecxe，然后这里正好是我们一开始想到的漏洞点，直接让$error_func($this->message); ==== hightlight(flag.php)
这里说明一下数组传参， $debug数组传参就会把参数逐个给形参也就是
（message,code,previous,error_func)
(flag.php,aa,aa,highlight)
noipecxe.php
<?php
class noitpecxe extends Exception
{
public $error_func = NULL;
public function __construct($message, $code, $previous = null, $error_func = "printf") {
// remove when PHP 5.3 is no longer supported
$this->error_func = $error_func;//printf
$this->message = $message;//args的值，是个数组
$previous = NULL;
//dont care what ur code is LOL!
$code = 69;
parent::__construct($message, $code, $previous);
}
public function __toString() {
$error_func = $this->error_func;//这里引用到了另一个函数
$error_func($this->message);
return __CLASS__ . ": {$this->code}\n";
}
}
?>$result->run(); ：：parse
里面作用就是分割数组，并且code的值一定要一直是oche
public function parse() {
$parsable = array("ohce");
$arg_val = 0;
$code = $this->code;
$args = $this->args;
$result = $this->result;
for ($i = 0; $i < count($code); $i++) {//去掉刚才数组分割中的空格
$code[$i] = trim($code[$i]);
}
$args = explode(",", $args);
for ($i = 0; $i < count($args); $i++) {//对传入的args进行,分割且去掉空格
$args[$i] = trim($args[$i]);
}
for ($i = 0; $i < count($code); $i++) {
$token = explode(" ", $code[$i]);//通过空格继续分割
for ($j = 0; $j < count($token); $j++) {
try {
if (!in_array($token[$j], $parsable)) {//这里必须要满足里面ohce
throw new noitpecxe("Non-Parsable Keyword!\n", 101);
}
if ($args[$arg_val] == NULL) {//args传入的不能为空
throw new noitpecxe("No Arguments!\n", 990);
}
if ($args[$arg_val] === "noitpecxe") {//不能是这个的值
throw new noitpecxe("No Exceptions!\n", 100);
}
$class = new $token[$j];//玄机在这里，这里肯定是一个跳转类的东西
$class($args, $arg_val);//我们可以根据参数来看调的哪个
$arg_val++;
} catch (noitpecxe $e) {
echo "Error Executing Code! Error: " . $e . "\n";
}
}然后就会调用oche.php
public function __invoke($args, $arg_val) {
$this->args = $args[$arg_val];
$arg_val++;
$parsable = array("orez_lum", "orez_dda");
if (in_array($this->args, $parsable)) { // we can run operators in ohce!
$class = new $this->args;
$this->result = $class($args, $arg_val);
} else {
$this->result = $this->args;
}
$this->result = strrev($this->result) . "\n";
echo $this->result;
}orez_lum和orez_dda内容几乎一样，调用谁都一样，然后调用orez_vid
为什么要调用它呢，看一下传参值
$class($arg, $arg_val);orez_vid ($arg = "div", $arg_val = 0, $result = NULL)new $arg[$arg_val]("div", $result, $arg);syntaxreader public function __construct($lines, $args, $debug = NULL)throw new noitpecxe(...$debug);public function __construct($message, $code, $previous = null, $error_func = "printf")所以我们一开始传入的arg就可以一条线的到达我们的执行命令，然后就是看一下中间的条件，只有
$_COOKIE['DEBUG']存在即可和上面的index.php判断一样，ok结束
public function __invoke($arg = "div", $arg_val = 0, $result = NULL) {
if (!isset($_COOKIE['DEBUG'])) { //just gonna prevent people from using this
throw new noitpecxe("You need to enable debugging mode to access this!\n", 0);
}
if ($arg[$arg_val] == NULL) {
throw new noitpecxe("No Arguments!\n", 990);
}
if ($arg[$arg_val] === "noitpecxe") {
throw new noitpecxe("No Exceptions!\n", 100);
}
if (isset($result)) {
throw new noitpecxe("No dividing by zero!\n", 0);
}
// smart to call the constructor so there is an exception! I was a genius!
$class = new $arg[$arg_val]("div", $result, $arg);
$arg_val++;
$this->result = $arg[$arg_val] / 0; // dividing by zero??
return $this->result;
}
这里卡了一下，debug是数组类型的，这点可以看php中赋值得知。
就是我们输入的code是以空格分割的，这里+就是空格的意思，但我用空格也过去了qwq ,一定要静下心来审计！！！
