F12一下
发现source.php

跳转一下

进行代码审计：
创建了一个类emmm

进行条件判断

if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  

empty() 检查变量是否为空  
is_string() 检查变量是否为字符串  
emmm::checkFile() 调用emmm类中的checkFile方法  
$_REQUEST[‘file’] 获取GET或POST传参的数据，参数为file

当传入的变量file不为空 且 是字符串 且 checkFile()结果为true时，返回值为true.在当前界面包含file指向的文件。
那么关键就在于让 checkFile()结果为true。

分析类：
第一处：
! isset($page)||!i{s}_{s}tring($page) isset()判断传入的参数page（方法中的page就是我们传入的参数file）是否已设置并且非空；is_string()判断参数是否为字符串。当两者同时为true时，进入下一处条件判断。
第二处：
in_array($page, $whitelist)i{n}_{a}rray()\mathrm{判}\mathrm{断}\mathrm{参}\mathrm{数}page\mathrm{是}\mathrm{否}\mathrm{位}\mathrm{于}whitelist\mathrm{数}\mathrm{组}\mathrm{中}.\mathrm{由}\mathrm{于}$whitelist = ["source"=>"source.php","hint"=>"hint.php"];所以合法的值只有source.php和hint.php。
现在我们所在的界面是source.php，所以我们令file=hint.php，返回值为true，就能包含hint.php，查看该文件的内容。

提示flag在ffffllllaaaagggg文件。但是该文件不在whitelist数组中，所以这一处的条件判断我们不能让它返回true,而是要进入下一步。

第三处：
mb_substr() 用于截取字符串，第一个参数为字符串，第二个和第三个参数分别为起始索引和终止索引。
mb_strpos() 用于查找指定字符串在目标字符串中首次出现的位置。第一个参数是目标字符串，第二个参数是只当字符串。

$_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
           
在参数page中截取字符串。
起始索引为0，也就是从头开始截取。
终止索引为参数page拼接一个?后，?首次出现的位置。

if (in_array($_page, $whitelist)) {
                return true;
            }

如果_page在whitelist中，也return true。
所以我们可以在file=hint.php后面拼接问号，问号前是用于条件判断，在问号后面输入我们真正要包含的文件。
payload:?file=hint.php?/../../../../ffffllllaaaagggg

mb_substr()会截取问号之前的数据，也就是截取了hint.php带入白名单查询，查询结果为true，返回值为true.
成功执行了include $_REQUEST[‘file’];
这里的flag文件放在了根目录，而我们当前所在的目录是/var/www/html/hint.php
因此使用了四个…/回到根目录，获取flag.

总结

php代码审计

empty() 检查变量是否为空
is_string() 检查变量是否为字符串
emmm::checkFile() 调用emmm类中的checkFile方法
$_REQUEST[‘file’] 获取GET或POST传参的数据，参数为file
mb_substr() 用于截取字符串，第一个参数为字符串，第二个和第三个参数分别为起始索引和终止索引。
mb_strpos() 用于查找指定字符串在目标字符串中首次出现的位置。第一个参数是目标字符串，第二个参数是只当字符串。

文件包含