初遇ctf的web题

解题思路来自：https://www.cnblogs.com/Downtime/p/7238850.html
1。http://117.34.116.134:8085/xatu/web6/
在第三行, 运用了extract()函数, 将get方式获得的变量导入到当前的符号表中.

然后判断$a与$content两个变量的内容是否相等.

但是, 由于extract()函数的不足之处, 导致这段代码存在一个变量覆盖漏洞.

只要我们这样构造url

/?a =&content=

那么, 我们可以发现, $a变量和$content变量的内容都会被设置成空字符串.这样就使得两个变量被覆盖。
2.view-source:117.34.116.134:8085/xatu/web7/
$_GET可以接受数组但MD5

md5（）不能处理数组结构的数据

利用此漏洞构造index.php?name[]=1&password[]=2

构造?name[]=1&password[]=2这样md5函数无法处理数组返回false完成匹配得到flag
3.http://117.34.116.134:8085/xatu/web10/
https://www.cnblogs.com/sch01ar/p/7996159.html用burp捕包