知道这个winapi是在学习php代码审计的时候，这里直接使用书中的解释
部分受影响的函数如下
最近看到的一个新的phpcms的洞，可以利用这个获取数据库的备份文件，于是我决定实践一下
测试代码如下
同级文件夹中有这样的文件
我们尝试将font参数设置为./123<<，可以看见file_exists函数判断这个文件是存在的
那么这个东西有什么用呢，利用这个特性，我们可以完成所有可访问文件夹的遍历，获取到所有的文件夹名以及文件名
既然要知道文件名，我们首先应当去了解这个文件名所允许的字符集范围，这里先不将中文考虑在内，之后再提，我们只考虑可打印的字符，首先数字和字母是显然的，而且这里无需考虑大小写的问题，因为并不区分，接下来就是特殊符号的确认，我尝试写了个脚本测试了一下
# -*- coding: utf-8 -*-
import string
import os
charset = string.punctuation
os.system("rmdir /s /q file")
os.mkdir('file')
print 'blacklist:'
for char in charset:
fuzz = 'file/' + char + 'test'
try:
open(fuzz, 'ab').write('test')
except:
print char,
print '\nwhitelist:'
print ''.join([file.replace('test', '') for file in os.listdir('file')])
具体的结果如下，由此可知在特殊符号中可用的是!#$%&'()+,-.;=@[]^_`{}~
因此我们的字符集的范围如下，这里需要将特殊符号url编码一下，有部分的符号在url中起着特殊作用
charset = list(string.digits + string.ascii_lowercase) + map(urllib.quote,'!#$%&\'()+,-.;=@[]^_`{}~')
至此，我们有了字符集，那么接下来面临的一个问题就是如何去区分文件很文件夹，一开始我考虑的是是否有'.'，显然这是不合理的，后来想到可以使用/<<作为结尾来区分，test是文件夹，而api.php是文件，测试一下
到这里应该做够实现正常的获取所有文件夹了，需要注意的是你要确保，tes和test文件都要获取到，我选择的是直接用递归写，可以避免这个问题，测了下确实可以获取到全部
回到最开始留下的中文问题上来，windows中，一般中文使用的会是gbk这样的编码，于是我们只研究一下他，翻开百度
可以看见如果每个汉字都是两个字节组成的，足足收录了21003个，这个范围有点大，而且gbk包括了繁体字和日韩文字，这个显然并不常用，于是我们选择范围小些的gb2312，它的字节结构如下，只有6768个，而且是常用汉字
我们来看看是否可以实现中文文件的判断，我在test文件夹下创建一个名为‘测’的文件，看一下测字的具体字节情况
将其url编码一下，发现确实可以
但是很快你就会发现问题，第一个字节位事实上是无法判断的，只要在第一字节范围内0xb0-0xf7，都是会被判断为存在，而且你把范围拓展到0x81-0xfe也是没有问题的
我尝试先确认第二个字节，但是结果是也不行，那么到这就凉凉了
，我没有找到解决的办法，如果你知道请务必告诉我
网友评论