1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49

 <?php
    highlight_file(__FILE__);  // 高亮显示当前文件的源代码
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

if (! empty($_REQUEST['file'])	//'file'参数的值不为空
        && is_string($_REQUEST['file'])	//'file'参数的值为字符串
        && emmm::checkFile($_REQUEST['file'])	//将'file'参数的值传入emmm类的checkFile方法后返回真
    ) {
    // 如果上述条件都满足，则执行以下代码块
        include $_REQUEST['file'];	// 包含'file'参数的值所指向的文件
        exit;
    } else {
    // 如果上述条件不满足，执行以下代码块
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

public static function checkFile(&$page)  //将$_REQUEST['file']接收到的值传给$page
{
    $whitelist = ["source"=>"source.php","hint"=>"hint.php"];	//创建$whitelist（白名单）数组
    if (! isset($page) || !is_string($page)) {
        echo "you can't see it";
        return false;	//如果$page变量不存在或$page变量的值不是字符串则返回false
    }

    if (in_array($page, $whitelist)) {	
        return true;	//如果$page变量的值在$whitelist（白名单）数组中则返回true
    }

    $_page = mb_substr(
        $page,
        0,
        mb_strpos($page . '?', '?')
    );	
    /*
    $page . '?''：给$page变量的值后面加个'?'
    
    mb_strpos($page . '?', '?')：输出$page . '?'这个字符串首次出现'?'的位置(输出一个数字)
    之所以在$page变量的值后面加个'?'，是因为mb_strpos()方法若是找不到首次出现'?'的位置会输出false
    
    mb_substr($page,0,mb_strpos($page . '?', '?'))：
    将$page变量的值(字符串)从首字符(第0)开始截取mb_strpos($page . '?', '?')个字符
    换言之就是把$page中第一个'?'后面的字符串都去掉，只留下第一个'?'前的字符串
    
    将截取后的值赋给$_page变量
    */
    if (in_array($_page, $whitelist)) {
        return true;
    }	//如果$_page变量的值在$whitelist（白名单）数组中则返回true

    $_page = urldecode($page);	//将$page变量的值通过URL解码后赋给$_page变量
    $_page = mb_substr(
        $_page,
        0,
        mb_strpos($_page . '?', '?')
    );//与上一个类似，就是截取URL解码后的$page变量的值的第一个'?'前的字符串
    if (in_array($_page, $whitelist)) {
        return true;	//如果$_page变量的值在$whitelist（白名单）数组中则返回true
    }
    echo "you can't see it";
    return false;
}

1
2
3
4
5
6
7
8

    $_page = mb_substr(
        $page,
        0,
        mb_strpos($page . '?', '?')
    );
    if (in_array($_page, $whitelist)) {
        return true;
    }

1
2
3
4
5
6
7
8
9

$_page = urldecode($page);
    $_page = mb_substr(
        $_page,
        0,
        mb_strpos($_page . '?', '?')
    );
    if (in_array($_page, $whitelist)) {
        return true;
    }

1
2

[root@wzh wwwroot]# ls
error  index.php

1
2

<?php
 include $_REQUEST['file'];

1
2

<?php
echo "flag";