一、开头废话

我是个fw，＿|￣|○，这场比赛8个小时，只有下午的isw的前两个小时是我的有效做题时间~~是的，我只写出来了shiro~~，其余时间都在坐牢。最后靠着学长在awdp修了一道MediaDrive拿了三等奖。

二、复盘

1.MediaDrive

Break

用seay审计源码

查看这三个文件，你会发现他们都有

1
2
3

if (isset($_COOKIE['user'])) {
    $user = @unserialize($_COOKIE['user']);
}

这是cookie反序列化，同时在preview.php中存在任意文件读取

$rawPath = $user->basePath . $f;

if (preg_match('/flag|\/flag|\.\.|php:|data:|expect:/i', $rawPath)) {
    http_response_code(403);
    echo "Access denied";
    exit;
}

$convertedPath = @iconv($user->encoding, "UTF-8//IGNORE", $rawPath);
if ($convertedPath === false || $convertedPath === "") {
    http_response_code(500);
    echo "Conversion failed";
    exit;
}

$content = @file_get_contents($convertedPath);

我们可以从代码中知道， @iconv($user->encoding, "UTF-8//IGNORE", $rawPath);会将原始目录转换成utf-8，并忽略无法转换的字符，但是，在User.php中

<?php
                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                   
        ?>
        """
        zip.writestr(path, content)
    with open("payload.zip", "wb") as f:
        f.write(buffer.getvalue())

if __name__ == '__main__':
    zip_creat()