CTF 比赛：有 PHP 大佬可以帮指点下关于 scandir 的问题吗

[sdushn]

先放有问题的部分，目标拿到 flag：

 public function __toString()
    {
        $num = count(scandir($this->filename));
        if ($num > 0) {
            return '什么也没有';
        } else {
            return 'flag_';
        }
    }

这里的 filename 可以通过反序列化指定，核心是需要绕过 count(scandir($this->filename)>0 的条件，这里 scandir 如果有目录，count 应该是>=2,如果是不存在的，就会报错。
有大佬有思路怎么绕过这个判断吗

[hefish]

网络路径看看

[ysc3839]

/dev /proc C:\ 不行吗？

[ysc3839]

@ysc3839 抱歉，看反了，以为是大于 0 输出。

[ysc3839]

https://www.php.net/manual/en/function.scandir.php#refsect1-function.scandir-notes
A URL can be used as a filename with this function if the fopen wrappers have been enabled.
可以往这方面看看

[sdushn]

@ysc3839 是一个反序列化题目，指定 filename 是另一个类对象，就绕过了

[god]

常见的 _php_stream_scandir buffer overflow 吧

[god]

@sdushn 这是字面意思排除掉'..', '.'就完了？

[f14g]

试试访问一个无权限的目录？：
https://stackoverflow.com/questions/37503262/is-the-array-returned-by-scandir-a-countable-object

[nuk]

echo count(scandir("glob://123"));

[god]

@nuk 有的版本可能警告报错哈，排除掉'..', '.' 两 entry 的空目录, scandir('glob://tmp/*.'); 要 scandir 返回 empty array ，count 返回 0 ，count |error|array 和 object 外别的类型就返回 1 ，https://github.com/php/php-src/blob/master/ext/standard/array.c#L285 。另外插一眼给 Perf, 比较 count vs empty vs == empty array 的主题可以看看。

[cbasil]

在$num = count(scandir($this->filename));前面加上文件夹是否存在的判断
<pre>
if(!is_dir($this->filename)) return 'flag_';
</pre>