[GDOUCTF 2023]泄露的伪装

打开环境之后，f12没有发现什么东西，我们直接进行对目录进行一个扫描。

发现一个/orzorz.php目录，进入访问

我们进行分析这段php代码

error_reporting(0);--

• 这行代码将PHP的错误报告级别设置为0，意味着不显示任何错误或警告信息。这通常不推荐在生产环境中使用，因为它会隐藏潜在的问题

1. if(isset($_GET['cxk'])){
   • 这行代码检查是否通过GET请求传递了名为cxk的参数。如果$_GET['cxk']被设置了（即存在），则执行大括号内的代码。
2. $cxk=$_GET['cxk'];
   • 如果cxk参数存在，这行代码将其值赋给变量$cxk。
3. if(file_get_contents($cxk)=="ctrl"){
   • 这行代码尝试读取变量$cxk（一个文件路径或URL）的内容，并将其与字符串"ctrl"进行比较。如果内容相等，则执行接下来的echo $flag;语句。这里存在一个安全隐患，因为允许用户通过GET参数直接指定文件路径可能会导致文件包含漏洞（File Inclusion Vulnerability）。
4. echo $flag;
   • 如果上面的条件满足（即文件内容为"ctrl"），则输出变量$flag的值。然而，在这段代码中，$flag并没有事先被定义或赋值，因此如果直接运行这段代码，这里会输出一个未定义变量的警告（但由于error_reporting(0);，这个警告不会显示）。
5. }else{
   • 如果文件内容不是"ctrl"，则执行这个else块内的代码。
6. echo "洗洗睡吧";
   • 在文件内容不是"ctrl"的情况下，输出字符串"洗洗睡吧"。
7. }
   • 结束if语句的else块。
8. }else{
   • 如果最初的if(isset($_GET['cxk']))条件不满足（即没有传递cxk参数），则执行这个else块内的代码。

     ---

     data://

     自PHP>=5.2.0起，可以使用data://数据流封装器，以传递相应格式的数据。通常可以用来执行PHP代码。一般需要用到base64编码传输

     所以该题我们可以构造payload：PHP伪协议

   • /orzorz.php?cxk=data://text/plain,ctrl