4.8.1 文件包含
分析
问题出在index.php
index.php
先看50行~52行，这里定义了一个target黑名单，名单内有import.php和export.php
继续看下面，55行到60行这里是一个多条件判断：
- $_REQUEST['target']不能为空
- $_REQUEST['target']为字符串
- 不以index开头
- 不在黑名单内
- Core::checkPageValidity方法返回为True
在满足上述条件时，就会执行include $_REQUEST['target'];，将请求参数target的值作为文件名包含进本页面，其中1到4的条件很好满足，我们来看看Core::checkPageValidity方法
search
通过搜索函数名，找到了该方法的定义文件\libraries\classes\Core.php
Core.php
这里定义了两个形参，其中第二个$whitelist缺省值为空数组
445~447行：当$whitelist为空时，$whitelist=self::$goto_whitelist
$goto_whitelist在Core.php的30~80行定义
public static $goto_whitelist = array(
'db_datadict.php',
'db_sql.php',
'db_events.php',
'db_export.php',
'db_importdocsql.php',
'db_multi_table_query.php',
'db_structure.php',
'db_import.php',
'db_operations.php',
'db_search.php',
'db_routines.php',
'export.php',
'import.php',
'index.php',
'pdf_pages.php',
'pdf_schema.php',
'server_binlog.php',
'server_collations.php',
'server_databases.php',
'server_engines.php',
'server_export.php',
'server_import.php',
'server_privileges.php',
'server_sql.php',
'server_status.php',
'server_status_advisor.php',
'server_status_monitor.php',
'server_status_queries.php',
'server_status_variables.php',
'server_variables.php',
'sql.php',
'tbl_addfield.php',
'tbl_change.php',
'tbl_create.php',
'tbl_import.php',
'tbl_indexes.php',
'tbl_sql.php',
'tbl_export.php',
'tbl_operations.php',
'tbl_structure.php',
'tbl_relation.php',
'tbl_replace.php',
'tbl_row_action.php',
'tbl_select.php',
'tbl_zoom_select.php',
'transformation_overview.php',
'transformation_wrapper.php',
'user_password.php',
);
448~450行：当$page未定义或者$page不为字符串时，返回False
452~454行：当$page存在于$whitelist数组内时，返回True
456~463行：获取$page中'?'前的所有字符串（不存在时获取全部），然后判断是否在$whitelist数组中，存在返回True
465~473行：同上，只不过先对$page进行urldecode
否则，返回False
这样的话，可以通过url编码的方式，让该函数返回True
在$whitelist中随便找一个元素，不能在黑名单中，后面跟上编码后的'?'，然后跟上文件的相对路径，可以用'/../../'去跳目录
index.php?target=user_password.php%253F/../../../test.txt
payload
