第php反引號(hào)與短標(biāo)簽?zāi)_本示例if(preg_match("/'||_|php|;|~|\\^|\\+|eval|{|}/i",$input)){

//if(preg_match("/'||_|=|php/",$input)){

die('hacker!!!');

}else{

return$input;

functionwaf($input){

if(is_array($input)){

foreach($inputas$key=$output){

$input[$key]=waf($output);

}else{

$input=check($input);

$dir='sandbox/'.md5($_SERVER['REMOTE_ADDR']).'/';

if(!file_exists($dir)){

mkdir($dir);

switch($_GET["action"]""){

case'pwd':

echo$dir;

break;

case'upload':

$data=$_GET["data"]"";

waf($data);

file_put_contents("$dir"."index.php",$data);

代碼審查，參數(shù)action控制兩個(gè)模式，當(dāng)action=upload的時(shí)候會(huì)將參數(shù)data的值進(jìn)行過濾并且作為file_put_contents的第三個(gè)參數(shù)，可以試試輸入123的時(shí)候是個(gè)什么效果，我查資料發(fā)現(xiàn)這個(gè)函數(shù)的第三個(gè)參數(shù)具體用法是啥我也不知道

當(dāng)action=pwd的時(shí)候，他會(huì)輸出目錄給我們。

一開始兩個(gè)問號(hào)是個(gè)啥我也不曉得，查了一下

？？是php7新推出來的表達(dá)式，有利于簡(jiǎn)便三元運(yùn)算符

例:

$example=$_GET[web]0;

相當(dāng)于

$example=$_GET[web]$_GET[web]:0;

意思就是如果web參數(shù)如果存在則返回本身，否則返回0

functioncheck($input){

if(preg_match("/'||_|php|;|~|\\^|\\+|eval|{|}/i",$input)){

//if(preg_match("/'||_|=|php/",$input)){

die('hacker!!!');

}else{

return$input;

functionwaf($input){

if(is_array($input)){

foreach($inputas$key=$output){

$input[$key]=waf($output);

}else{

$input=check($input);

}

可以發(fā)現(xiàn)這是對(duì)data參數(shù)的過濾防護(hù)，過濾了php，eval，花括號(hào)等，其實(shí)這些過濾內(nèi)容有點(diǎn)提示我們要用php標(biāo)簽，但是php，eval，空格這些都被過濾掉了，這時(shí)候就有新東西學(xué)習(xí)了

反引號(hào)執(zhí)行系統(tǒng)命令，以及php短標(biāo)簽

PHP:執(zhí)行運(yùn)算符-Manual就像如果我們要執(zhí)行l(wèi)s命令，通常我們都是system(ls但是有了反引號(hào)，我們直接`ls`即可執(zhí)行，是不是方便多了，但是要開一個(gè)默認(rèn)選項(xiàng)(默認(rèn)都是打開的),并且不能在雙引號(hào)字符中使用

php中的短標(biāo)簽/article/112327.htm

$a相當(dāng)于php

=$a相當(dāng)于phpecho$a還省略了eval需要的分號(hào)

因此我們思路就是，當(dāng)切換在upload模式的時(shí)候，我們可以控制data參數(shù)傳入php表達(dá)式看看效果，然后切換到pwd模式獲取路徑進(jìn)入到下面去看看

成功回顯1234，有點(diǎn)渲染那味了

構(gòu)造action=uploaddata==`ls`,因?yàn)榭崭癖贿^濾了，我們