漏洞解析

class TokenStorage {
    public function performAction($action, $data) {
        switch ($action) {
            case 'create':
                $this->createToken($data);
                break;
            case 'delete':
                $this->clearToken($data);
                break;
            default:
                throw new Exception('Unknown action');
        }
    }

    public function createToken($seed) {
        $token = md5($seed);
        file_put_contents('/tmp/tokens/' . $token, '...data');
    }

    public function clearToken($token) {
        $file = preg_replace("/[^a-z.-_]/", "", $token);
        unlink('/tmp/tokens/' . $file);
    }
}

$storage = new TokenStorage();
$storage->performAction($_GET['action'], $_GET['data']);

考察点：任意文件删除漏洞
正则表达式不严谨：

preg_replace("/[^a-z.-_]/", "", $token)

使用 PHP 的 preg_replace 函数来执行正则表达式替换操作。将字符串变量 $token 中的非小写字母、点号、短横线和下划线的字符替换为空字符串，即删除除了小写字母、点号、短横线和下划线之外的所有字符。

开发者本来的意思应该是将a-z和.-_这三个符号外的全部替换为空，这样../../../xx就无法使用，防止进行路径穿越。但是没对-进行转义，所以匹配范围就变成了a-z和.字符到_字符之间的所有字符。

因此，攻击者还是可以使用点和斜杠符号进行路径穿越，最终删除任意文件。

当action是delete的时候，会调用clearToken函数，传入参数可以含., /，构造payload：action=delete&data=../../config.php