本文备份于我的博客
大家好，我是Web安全板块的新版主crownless。最近我将以CTF赛题讲解的形式介绍一系列的Web基础知识，讲解的顺序将是循序渐进，因此不需要读者有任何基础知识。希望能吸引更多人关注看雪的Web安全板块，为板块增加人气和活力。
如果你还没有阅读第一篇教程和第三篇教程，建议你先阅读之后再阅读本文。
在这篇文章中，你将学到：

话不多说，让我们开始吧。首先打开这次的CTF赛题网站：
fc1K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0t1J5y4q4)9J5k6e0t1J5x3q4)9J5k6e0j5%4i4K6y4m8x3U0x3&6x3o6m8Q4x3V1k6V1L8i4y4B7i4K6u0r3L8r3g2$3k6h3H3J5i4K6u0r3
你会发现一片空白，网页的源代码也为空。这里，我提供php后端的源代码供你审计：

首先，flag变量被设置为'xxx'，一个简单的字符串。
接着，后端运行了extract函数，从$_GET数组中将变量导入到当前的符号表。什么意思呢？其实很简单。比如如果我们访问了c6eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0t1J5y4q4)9J5k6e0t1J5x3q4)9J5k6e0j5%4i4K6y4m8x3U0x3&6x3o6m8Q4x3V1k6V1L8i4y4B7i4K6u0r3L8r3g2$3k6h3H3J5i4K6u0r3i4K6y4r3M7$3W2^5M7%4c8S2M7Y4y4Q4x3@1b7I4，那么$_GET["sixstars"]的值为字符串1。执行extract($_GET);时，就相当于执行了$sixstars='1'。
然后，程序将会执行isset($sixstars)。我们看到，为了获取flag，必须执行到echo 'flag{xxx}';，所以isset($sixstars)的返回值必须为 TRUE。所以，我们必须通过extract($_GET);将sixstars变量设置为任意值，即使是空字符串也可以。也就是说，即使访问e0aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0t1J5y4q4)9J5k6e0t1J5x3q4)9J5k6e0j5%4i4K6y4m8x3U0x3&6x3o6m8Q4x3V1k6V1L8i4y4B7i4K6u0r3L8r3g2$3k6h3H3J5i4K6u0r3i4K6y4r3M7$3W2^5M7%4c8S2M7Y4y4Q4x3@1b7`.也是可以的。但绝对不能不包含sixstars参数。
接着，程序将会执行$content=trim(file_get_contents($flag));。我们分步看。首先会执行file_get_contents($flag)。正常情况下，如果你不通过URL传入flag参数，那么，因为程序的最开始已经执行过$flag='xxx';，所以到了这里将会执行file_get_contents('xxx')。file_get_contents函数可以“将整个文件读入一个字符串”。比如如下代码可以将b4eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3g2^5j5h3#2H3L8r3g2Q4x3X3g2U0L8$3#2Q4x3V1k6Q4c8e0N6Q4b7V1c8Q4z5e0q4Q4c8e0N6Q4b7f1u0Q4z5e0W2Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0k6Q4b7V1q4Q4z5e0m8Q4c8e0c8Q4b7V1u0Q4b7e0y4Q4c8e0N6Q4b7e0m8Q4z5o6q4Q4c8e0S2Q4b7f1k6Q4b7V1u0Q4c8e0g2Q4z5p5k6Q4z5e0k6Q4c8e0g2Q4z5o6S2Q4b7U0l9`.homepage变量中并显示出来。

接着，php又会执行trim函数，它将会“去除字符串首尾处的空白字符（或者其他字符）”。
最后，php将会执行if ($sixstars==$content)，如果为TRUE，那么将会显示flag。
读到这里，你想必已经知道了我们该怎么做：首先，给sixstars变量传入一个值，比如1。然后，给flag变量传入一个我们能控制的网站的地址，并让这个我们能控制的网站的源代码设置为1。由于extract能起到“变量覆盖”的作用，在extract后，flag变量就会被覆盖为我们能控制的网站的地址，而不再是'xxx'，这样当执行到file_get_contents时php后端将会从我们能控制的网站上读取到1，并将其和sixstars变量比较，并返回TRUE，然后就能打印flag。
虽然这个方法是可行的，但是今天我要教你一个更简单的方法，那就是php伪协议。我们可以直接给flag变量传入data://text/plain,1。意思是明文1。这样file_get_contents('data://text/plain,1')将会直接返回1，就不需要我们在公网上开一台服务器了。
所以，最后我们的payload是：

这里再强调一下，给后端传参的方法是：在?后跟变量名字，不同的变量之间用&隔开。
关于伪协议，我们以后有机会还会碰到。请大家继续关注看雪Web安全板块crownless的CTF赛题讲解。

<?php
$flag='xxx';
extract($_GET);
if(isset($sixstars)) {
    $content=trim(file_get_contents($flag));
    if ($sixstars==$content) {
        echo 'flag{xxx}';
    } else {
        echo 'Oh.no';
    }
}
?>

<?php
$homepage = file_get_contents('ae1K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3g2^5j5h3#2H3L8r3g2Q4x3X3g2U0L8$3#2Q4x3V1k6Q4x3U0N6Q4x3U0W2Q4x3@1t1`.
echo $homepage;
?>

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课