PHP相关部分特性

正则匹配

preg_match()，我们可以完成字符串的规则匹配。如果找到一个匹配，preg_match() 函数返回 1，否则返回 0。

intval（） — 获取变量的整数值

1.数组绕过

preg_match只能处理字符串，如果传入的值是数组的话，就会报错，从而返回false，绕过了正则匹配。
payload：?num[]=1

2. 小数点绕过

payload：?num=4476.3或者是?num=010574（八进制）

3.传参的sripos首行不能为0

strpos函数的意思就是查找0在$num中的位置是否是0（此处就是过滤了八进制的方法），我们就只能使用小数的方法去绕过。且小数位还要存在一个0，假设我们的payload为4476.3，那么在经过strpos函数的时候，没有找到0，那么就会返回FALSE，在经过前面的!，就变成了TRUE。所以我们需要在小数的某一个位置带上0，绕过strpos函数。
payload：?num=4476.30

4. 数组绕过MD5，值不相等，单md5以后相等

只需要用post方式输入a[]=1&b[]=2就可以了。

5.科学计数法绕过

intval()int函数如果 b a s e 为 0 则 base为0则 base为0则var中存在字母的话遇到字母就停止读取 但是e这个字母比较特殊，可以在PHP中表示科学计数法。
payload:num=4476e0

6.%oa换行符绕过

先来看一个正则表达式:

那么遇到类似的情况，就可以采用%0a换行符绕过。

看上述代码，需要我们传参gxn=gxngxngxn,但是又不能赋值gxngxngxn给gxn，这很明显是个矛盾，这就需要我们用%0a去绕过正则匹配。
payload:gxn=gxngxngxn%0a

7.MD5强碰撞

这边强制类型转换+强相等，那么前面的科学计数法绕过和数组绕过就通通失效了，这时候就需要进行md5强碰撞来找到两个值，这里直接就放出来两个值，积累下来就行。

payload:a=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%00%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1U%5D%83%60%FB_%07%FE%A2&b=M%C9h%FF%0E%E3%5C%20%95r%D4w%7Br%15%87%D3o%A7%B2%1B%DCV%B7J%3D%C0x%3E%7B%95%18%AF%BF%A2%02%A8%28K%F3n%8EKU%B3_Bu%93%D8Igm%A0%D1%D5%5D%83%60%FB_%07%FE%A2

写到这突然想起与MD5类似的还有一个sha1这种，MD5考腻了就会换成sha1加密，但是解法还是差不多的，它们两个特性也差不多，无非就是数组绕过和sha1强碰撞，类似上诉md5记录的题型。

sha1强制类型转换:

这里也给出sha1强碰撞的payload，积累下来以备不时之需;

payload:a=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01%7FF%DC%93%A6%B6%7E%01%3B%02%9A%AA%1D%B2V%0BE%CAg%D6%88%C7%F8K%8CLy%1F%E0%2B%3D%F6%14%F8m%B1i%09%01%C5kE%C1S%0A%FE%DF%B7%608%E9rr/%E7%ADr%8F%0EI%04%E0F%C20W%0F%E9%D4%13%98%AB%E1.%F5%BC%94%2B%E35B%A4%80-%98%B5%D7%0F%2A3.%C3%7F%AC5%14%E7M%DC%0F%2C%C1%A8t%CD%0Cx0Z%21Vda0%97%89%60k%D0%BF%3F%98%CD%A8%04F%29%A1&b=%25PDF-1.3%0A%25%E2%E3%CF%D3%0A%0A%0A1%200%20obj%0A%3C%3C/Width%202%200%20R/Height%203%200%20R/Type%204%200%20R/Subtype%205%200%20R/Filter%206%200%20R/ColorSpace%207%200%20R/Length%208%200%20R/BitsPerComponent%208%3E%3E%0Astream%0A%FF%D8%FF%FE%00%24SHA-1%20is%20dead%21%21%21%21%21%85/%EC%09%239u%9C9%B1%A1%C6%3CL%97%E1%FF%FE%01sF%DC%91f%B6%7E%11%8F%02%9A%B6%21%B2V%0F%F9%CAg%CC%A8%C7%F8%5B%A8Ly%03%0C%2B%3D%E2%18%F8m%B3%A9%09%01%D5%DFE%C1O%26%FE%DF%B3%DC8%E9j%C2/%E7%BDr%8F%0EE%BC%E0F%D2%3CW%0F%EB%14%13%98%BBU.%F5%A0%A8%2B%E31%FE%A4%807%B8%B5%D7%1F%0E3.%DF%93%AC5%00%EBM%DC%0D%EC%C1%A8dy%0Cx%2Cv%21V%60%DD0%97%91%D0k%D0%AF%3F%98%CD%A4%BCF%29%B1

8.回溯绕过

回溯次数上限默认是100万,如果回溯次数超过了100万，preg_match返回的便不再是0或1，而是false，利用这个方法，可以写一个脚本，来使回溯次数超出pcre.backtrack_limit限制，进而绕过WAF

*import requests
url = ‘http://3638bf4e-f63d-477c-95eb-ba023f279de8.chall.ctf.show:8080/’
data = {
‘f’:'very’250000+‘ctfshow’
}
reponse = requests.post(url,data=data)
print(reponse.text)