[SWPUCTF 2022 新生赛]numgame

[SWPUCTF 2022 新生赛]numgame

点开之后页面如下：

然后我们查看页面源码：

发现有一个js文件可以点进去，点进去后内容如图所示：

发现这是一串js代码，并且最后这个地方有一串base64编码加密后的内容，我们打开浏览器中的base64在线解密工具对其进行解密：

解密后得到一个php文件，直接访问得到一串php代码：

 <?php
error_reporting(0);
//hint: 与get相似的另一种请求协议是什么呢
include("flag.php");
class nss{
    static function ctf(){
        include("./hint2.php");
    }
}
if(isset($_GET['p'])){
    if (preg_match("/n|c/m",$_GET['p'], $matches))
        die("no");
    call_user_func($_GET['p']);
}else{
    highlight_file(__FILE__);
} 

接着我们对代码进行分析：

if (preg_match("/n|c/m",$_GET['p'], $matches))
        die("no"); 

使用preg_match()函数对$_GET[‘p’]进行正则匹配，判断其是否含有字母n或c。如果匹配成功，就输出no并结束脚本的执行。

call_user_func($_GET['p'])

使用了call_user_func()函数，根据$_GET['p']的值调用对应的函数。call_user_func()函数用于调用一个回调函数。这里回调函数的名称由$_GET['p']指定。

由于代码中的hint2.php是可以直接访问的，我们访问一下试试，结果如下：

由此得知我们要利用的东西就是nss类，我们可以直接利用双冒号运算符去访问类中的方法，因为正则表达式中匹配到了n和c，但是用到的修饰符是/m多文本匹配，所以我们可以采用大小写看能否绕过。
这里解释一下：在编程语言中，双冒号运算符（::）用于访问类的成员，包括静态成员和非静态成员。

所以我们构造payload:

/NsScTf.php/?p=NSS2::Ctf

直接访问后，查看页面源码得到：

由此可得本题flag为：NSSCTF{6342081a-bbf7-4fda-ae30-e3bc00b51749}