[RoarCTF 2019]Easy Calc1

弹出了一个对话框，说算不来，说明可能存在过滤

最后发现只要传入字母都会触发弹窗，应该跟题目设定有关系，这只是一个简单的计算器而已

查看了一下源码，发现有一个传参，访问一下calc.php文件

访问后得到一串php源码

首先建立了一个黑名单列表，然后是一个foreach循环，用于遍历$blacklist数组中的每个元素。

在循环中，blackitem变量被赋值为blacklist数组中的当前元素。然后，循环体内的代码会执行，可以对$blackitem进行任何操作。

所以这段代码的作用是遍历黑名单数组，检查用户输入的$num是否包含在黑名单中的任何项。

如果str中没有匹配到黑名单中的任何项，它会使用eval()函数对str作为PHP代码执行，并将结果输出。

所以我这道题的思路就是利用num传参绕过黑名单，造成任意代码执行

但是这里要引入一个php函数，scandir() 函数

所以我们这里构造/?num=var_dump(scanfir ('/'));

但是直接说我没有权限访问

查看了wp得知可以利用php字符串的特性，因为本题是不允许传入字符的

我们在传参时在num前加入空格，这样本题的waf就找不到num这个变量了，因为现在的变量叫“ num”，而不是“num”。但php在解析的时候，会先把空格给去掉，这样我们的代码还能正常运行

成功造成回显，但是因为黑名单是将/和单引号过滤掉的，所以我们可以使用chr函数将ascii代替注入的字符/

因为我们不需要查看文件类型，所以还是换成print_r(scandir(chr(47)));

然后在回显中可以看见一个与flag相关的文件f1agg

那在php中读取指定文件，还要学习到一个file_get_contents() 函数

最后将file_get_contents() 函数指定的路径，利用chr住哪换后利用.拼接字符串就好

scandir() 函数

返回指定目录中的文件和目录的数组。

语法：
scandir（directory，sorting_order）

参数	描述
directory	必需。规定要扫描的目录。
sorting_order	可选。规定排列顺序。默认是 0，表示按字母升序排列。如果设置为 SCANDIR_SORT_DESCENDING 或者 1，则表示按字母降序排列。如果设置为 SCANDIR_SORT_NONE，则返回未排列的结果。

file_get_contents() 函数

file_get_contents() 把整个文件读入一个字符串中。

该函数是用于把文件的内容读入到一个字符串中的首选方法。如果服务器操作系统支持，还会使用内存映射技术来增强性能。

语法:
file_get_contents(path)

PHP file_put_contents() 函数

定义和用法

file_put_contents() 函数把一个字符串写入文件中。

该函数访问文件时，遵循以下规则：

如果设置了 FILE_USE_INCLUDE_PATH，那么将检查 *filename* 副本的内置路径
如果文件不存在，将创建一个文件
打开文件
如果设置了 LOCK_EX，那么将锁定文件
如果设置了 FILE_APPEND，那么将移至文件末尾。否则，将会清除文件的内容
向文件中写入数据
关闭文件并对所有文件解锁

如果成功，该函数将返回写入文件中的字符数。如果失败，则返回 False。

语法:
file_put_contents ( $filename , $data [, $flags = 0 [, $context ]] )

参数	描述
filename	必需。规定要写入数据的文件。如果文件不存在，则创建一个新文件。
data	必需。规定要写入文件的数据。可以是字符串、数组或数据流。
flags	可选。规定如何打开/写入文件。可能的值： FILE_USE_INCLUDE_PATH FILE_APPEND LOCK_EX
context	可选。规定文件句柄的环境。context 是一套可以修改流的行为的选项。