【网络安全/CTF】easyphp 江苏工匠杯

本题考察PHP语言相关绕过知识

正文

开门见山给代码

php 复制代码
 <?php
highlight_file(__FILE__);
$key1 = 0;
$key2 = 0;

$a = $_GET['a'];
$b = $_GET['b'];

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
    if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
        $key1 = 1;
        }else{
            die("Emmm...再想想");
        }
    }else{
    die("Emmm...");
}

$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val){
            $val==="DGGJ"?die("no......"):NULL;
        }
        $key2 = 1;
    }else{
        die("no hack");
    }
}else{
    die("no");
}

if($key1 && $key2){
    include "Hgfks.php";
    echo "You're right"."\n";
    echo $flag;
}

?> Emmm...

考察代码分析能力,看最后一个if:

php 复制代码
if($key1 && $key2){
    include "Hgfks.php";
    echo "You're right"."\n";
    echo $flag;
}

也就是说,当key1、key2为1时即可文件包含Hgfks.php,那么接下来的思路就很简单了。

1.get传参a,满足isset($a) && intval($a) > 6000000 && strlen($a) <= 3,则a为2e9即可

2.get传参b,满足isset($b) && '8b184b' === substr(md5($b),-6,6)

substr(md5($b),-6,6)用于提取b经过 MD5 加密后的字符串的最后 6 个字符,也就是说这6个字符要等于8b184b,首先想到的是将8b184b进行md5解密,再赋值给b。而md5是不可逆算法,故此法失效。

php的强比较利用环境一般为:

复制代码
md5($a)===md5($b)

在这里也行不通

因此可以写一个脚本,通过遍历b并且做判断(这里判断b为纯数字)

故b为53724即可

3.再看参数c的要求:

php 复制代码
$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val){
            $val==="DGGJ"?die("no......"):NULL;
        }
        $key2 = 1;
    }

get传参经过json编码的c,且c为数组,数组c中的值m不是数字且m>2022;数组c中的值n为数组、数组n有两个元素且第一个元素也是数组。

对于m,当PHP中进行数字与字符的比较时,字符的前缀数字会被保留,即

复制代码
33<34php=34

所以将m赋为2023v即可,而对于n,即可写成n[[x],y]的形式

php 复制代码
$d = array_search("DGGJ", $c["n"]);
$d === false?die("no..."):NULL;
foreach($c["n"] as $key=>$val){
$val==="DGGJ"?die("no......"):NULL;

表示在n中查找为DGGJ的元素,找不到就终止脚本

利用当函数接入不符合类型,则返回0的特性,将n改为

复制代码
n[[x],0]

如果找到DGGJ,也终止脚本,将n中的数组改为任意不是DGGJ的元素即可:

复制代码
n[[1],0]

最后将c进行json编码即可

传参得到flag:

附言

在处理

c 复制代码
isset($b) && '8b184b' === substr(md5($b),-6,6)

时,可以使用PHP循环及Python脚本得到变量b,代码在:
【网络安全 | MD5截断比较】PHP、Python脚本利用 | CSDN秋说

相关推荐
Coovally AI模型快速验证3 小时前
基于YOLO集成模型的无人机多光谱风电部件缺陷检测
人工智能·安全·yolo·目标跟踪·无人机
夏天的风994 小时前
本地部署PLM系统,如何用 ZeroNews 实现远程访问?
安全·远程工作
wanhengidc5 小时前
高性价比云手机挑选指南
运维·网络·安全·游戏·智能手机
拉法豆粉7 小时前
三方软件测试可移植性测试哪些内容
数据库·安全
午夜游鱼9 小时前
Go 泛型实战:一行代码封装 sync.Pool,性能与安全兼得
开发语言·安全·golang
在安全厂商修设备9 小时前
XSS 跨站脚本攻击剖析与防御 - 第一章:XSS 初探
web安全·网络安全·xss
半桔10 小时前
【Linux手册】信号量与建造者模式:以 PV 操作保证并发安全,分步组装构建复杂对象
linux·运维·安全·建造者模式
网络之路Blog10 小时前
【实战中提升自己完结篇】分支篇之分支之无线、内网安全与QOS部署(完结)
网络协议·安全·网络之路一天·华为华三数通基础·网络设备管理·华为华三二三层交换机对接
✎﹏赤子·墨筱晗♪10 小时前
Nginx 配置 SSL/TLS 全指南:从安装到安全强化
nginx·安全·ssl
独行soc11 小时前
2025年渗透测试面试题总结-60(题目+回答)
java·python·安全·web安全·adb·面试·渗透测试