Bugku 聪明的php题型分析，常见考点一网打尽！

发布日期： 2025-09-22 阅读量： 作者： admin

今天跟大家聊聊我做Bugku那道“聪明的php”题的经历，刚开始拿到题目的时候，我也有点懵，感觉无从下手，但还是磕磕绊绊地搞定了，现在就跟大家分享一下我的解题过程。

打开题目，页面上显示了一段代码，大意就是说要传一个参数，可能flag的文件名是随机的。我当时就有点摸不着头脑，这参数要传flag的文件名又是

第一步：审题+初步尝试

没办法，只能先随便传个参数试试水，看看返回什么。我试着传了个`?a=1`，结果页面返回了更多的代码，仔细一看，发现里面有`*`，这才意识到，这题可能是个Smarty模板注入。

第二步：深入研究Smarty模板注入

之前我对Smarty模板注入了解不多，所以赶紧去查了些资料。了解到Smarty是PHP的一个模板引擎，如果使用不当，可能会导致远程代码执行。它的注入方式跟常见的Flask的SSTI不太一样，需要一些特殊的payload。

第三步：构造Payload，尝试利用

查了一些资料后，我开始尝试构造payload。根据网上的资料，我尝试了一些常用的Smarty模板注入的payload，比如`{$*}`、`{php}echo system('ls');{/php}`之类的，但是都不行，没有回显。

第四步：寻找突破口

这时候我就有点卡住了，不知道该怎么办。于是我又回去仔细看题目给的代码，发现里面有个`strcmp()`函数，这个函数是用来比较字符串的。我猜测可能可以通过绕过`strcmp()`函数来执行一些操作。

第五步：绕过strcmp()函数

`strcmp()`函数在比较字符串的时候，如果传入的不是字符串，而是数组，它会返回NULL。利用这个特性，我们可以绕过一些比较。我尝试构造了一个payload：`?a[]=1`，这样`$_GET['flag']`就是一个数组，`strcmp()`函数就会返回NULL，从而绕过比较。

第六步：执行命令，获取Flag

绕过`strcmp()`函数后，我就可以执行一些命令了。我尝试使用`system()`函数来执行`ls`命令，看看当前目录下有什么文件。构造的payload是：`?flag[]=1&cmd=system('ls')`，然后发送请求，终于成功执行了`ls`命令，并且看到了一个类似flag的文件名！

第七步：读取Flag文件

有了flag的文件名，我就可以读取它的内容了。我使用`system('cat flag文件名')`命令来读取flag文件的内容。构造的payload是：`?flag[]=1&cmd=system('cat flag文件名')`，发送请求后，成功获取了flag！

第八步：总结

这道题虽然不难，但是需要对Smarty模板注入和`strcmp()`函数有一定的了解。在解题的过程中，我遇到了很多困难，但是通过查阅资料、不断尝试，最终还是成功地解决了问题。这回解题经历也让我更加深入地了解了PHP的安全问题。

希望我的分享对大家有所帮助，如果大家有什么问题，可以在评论区留言，我们一起讨论！

随便看看