<?php
if(isset($_GET['file'])){
$file = $_GET['file'];
$file = str_replace("php", "???", $file);
$file = str_replace("data", "???", $file);
$file = str_replace(":", "???", $file);
$file = str_replace(".", "???", $file);
include($file);
}else{
highlight_file(__FILE__);
}知识点：
- 利用
session.upload_progress进行文件包含 - 条件竞争
思路就是通过上传PHP_SESSION_UPLOAD_PROGRESS来访问/tmp/sess_xxx,从而进行文件包含
原理可以看这篇文章利用session.upload_progress进行文件包含和反序列化渗透
其中主要的几点
首先上传PHP_SESSION_UPLOAD_PROGRESS，代码如下
<!DOCTYPE html>
<html>
<body>
<form action="http://ed5a888e-8a6b-4e9f-9f47-0d3922ca327d.chall.ctf.show/" method="POST" enctype="multipart/form-data">
<input type="hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value="2333" />
<input type="file" name="file" />
<input type="submit" value="submit" />
</form>
</body>
</html>
<?php
session_start();
?>随便传一个文件然后抓包
因为session.use_strict_mode默认值为off,所以这时我们可以自定义session id，比如在Cookie里设置PHPSESSID=flag，php就会在服务器上创建一个文件：/tmp/sess_flag，即使此时用户没有初始化session，php也会自动初始化session,并产生一个键值。
(在Linux系统中，session文件一般的默认存储位置为 /tmp 或 /var/lib/php/session)
所以添加以下内容，待会爆破
接着去题目页面，传参?file=/tmp/sess_flag后抓包
(随便加一个参数来方便爆破，不加也行)
因为session.upload_progress.cleanup默认是开启的，一旦读取了所有POST数据，它就会清除进度信息，因此我们要用条件竞争来访问
所以接下来要将这两个包同时爆破
其实就是一个不停的发送，一个不停的访问，总会有几个在删除之前访问到的，这就是条件竞争
然后改一改
再爆破一次，成功拿到flag
这几题是差不多的，都能用这个方法做
参考
利用session.upload_progress进行文件包含和反序列化渗透
利用PHP_SESSION_UPLOAD_PROGRESS进行文件包含