WP_D0g3_exec

WP_D0g3_exec

提示swp，linux下的备份文件；
url后面加.index.php.swp（默认名字为index），弹出下载框；
将文件在vi中打开，得到源码：

        // Get input
        $target = $_REQUEST[ 'ip' ];
    // var_dump($target);
        $target=trim($target);
        // var_dump($target);
        // Set blacklist
        $substitutions = array(
                '&'  => '',
                ';' => '',
                '|' => '',
                '-'  => '',
                '$'  => '',
                '('  => '',
                ')'  => '',
                '`'  => '',
                '||' => '',
        );
        // Remove any of the charactars in the array (blacklist).
        $target = str_replace( array_keys( $substitutions ), $substitutions, $target );
        // var_dump($target);
        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
                // Windows
                $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
                // *nix
                $cmd = shell_exec( 'ping  -c 1 ' . $target );
        }                               

此处是一个命令执行的问题，和DVWA中的Command execute代码几乎一样，可以参考。
对ip参数做了过滤，黑名单筛掉了一些连接符，此处用换行符绕过。由于对方服务器是Linux系统，所以用%0a，windows系统可用%0d%0a绕过。

Ls 看到当前目录下有flag.php,接着cat flag.php
http://118.89.167.246:4002/index.php?ip=0.0.0.0%0acat flag.php
右键源代码，得到flag