[GWCTF 2019]枯燥的抽奖

 枯燥的生活😴

查看网页源代码

 发现check.php

nGceH6r1Fz
<?php
#这不是抽奖程序的源代码！不许看！
header("Content-Type: text/html;charset=utf-8");
session_start();
if(!isset($_SESSION['seed'])){
$_SESSION['seed']=rand(0,999999999);
}

mt_srand($_SESSION['seed']);
$str_long1 = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ";
$str='';
$len1=20;
for ( $i = 0; $i < $len1; $i++ ){
    $str.=substr($str_long1, mt_rand(0, strlen($str_long1) - 1), 1);       
}
$str_show = substr($str, 0, 10);
echo "<p id='p1'>".$str_show."</p>";


if(isset($_POST['num'])){
    if($_POST['num']===$str){
        echo "<p id=flag>抽奖，就是那么枯燥且无味，给你flag{xxxxxxxxx}</p>";
    }
    else{
        echo "<p id=flag>没抽中哦，再试试吧</p>";
    }
}
show_source("check.php"); 

这里需要根据给出的字符猜测出完整字符提交才能得到flag

用公钥推出私钥

私钥是由mt_rand函数生成的种子生成的

工具php_mt_seed可以爆破出种子

PHP mt_rand安全杂谈及应用场景详解

这里 工具php_mt_seed-master需要用4.0版本，不能用旧版本

 下载网址php_mt_seed

先用脚本将伪随机数转换成php_mt_seed可以识别的数据：

charlist = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ"
str1 = "nGceH6r1Fz"
re_list = charlist[::-1]
length_str1 = len(str1)
length_charlist = len(charlist)
result = ""
for i in range(length_str1):
    for j in range(length_charlist):
        if str1[i] == charlist[j]:
            result += str(j) + ' ' + str(j) + ' ' + '0' + ' ' + str(length_charlist - 1) + ' '
            break

print(result)

生成的数据：

13 13 0 61 42 42 0 61 2 2 0 61 4 4 0 61 43 43 0 61 32 32 0 61 17 17 0 61 27 27 0 61 41 41 0 61 25 25 0 61 

 命令:

make

./php_mt_seed 13 13 0 61 42 42 0 61 2 2 0 61 4 4 0 61 43 43 0 61 32 32 0 61 17 17 0 61 27 27 0 61 41 41 0 61 25 25 0 61

 根据种子生成完整字符

<?php
mt_srand('140472889');
$str_long1 = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ";
$str='';
$len1=20;
for ( $i = 0; $i < $len1; $i++ ){
    $str.=substr($str_long1, mt_rand(0, strlen($str_long1) - 1), 1);       
}
echo $str; 
?>

 提交得到flag

 flag:NSSCTF{6edde19b-7ba8-4515-bccc-84d790571f51}