parse_str() 函数用于把查询字符串解析到变量中,如果没有array 参数,则由该函数设置的变量将覆盖已存在的同名变量。 极度不建议 在没有 array参数的情况下使用此函数,并且在 PHP 7.2 中将废弃不设置参数的行为。此函数没有返回值
源码:
1.<?php
2.error_reporting(0);
3.if (empty($_GET['id'])) {
4. show_source(__FILE__);
5. die();
6.} else {
7. include (‘flag.php’);
8. $a = “www.OPENCTF.com”;
9. $id = $_GET['id'];
10. @parse_str($id);
11. if ($a[0] != ‘QNKCDZO’ && md5($a[0]) == md5(‘QNKCDZO’)) {
12. echo $flag;
13. } else {
14. exit(‘其实很简单其实并不难!’);
15. }
16.}
17.?>
1、 error_reporting()函数规定不同级别错误,这里为关闭错误报告
2、 show_source()函数,别名highlight_file()高亮显示文件。
3、 empty()函数姜茶一个变量是否为空,所以动我们发送请求的时候一定带有id参数
4、 include(‘flag.php’)调用flag.php文件,应该就是存放flag的文件
5、 @parse_str($id)把查询字符串解析到变量中,没有使用array选项,若有同名变量,将原来的覆盖。这里明显将原来的$a的值给覆盖掉。
6、 $a[0] != 'QNKCDZO' && md5($a[0]) == md5('QNKCDZO')判断$a[0]的值不是QNKCDZO并且$a[0]的MD5值要和QNKCDZO的MD5值相同。我们知道很难找出这样的字符串
二、构造我们的payload
整体源码已经分析过了,现在唯一要做的就是需要找出字符串不同,但MD5值相同的值。这很难找出。这个时候可以利用php处理MD5哈希字符串的缺陷进行处理。
题目这里给出的QNKCDZO的MD5值为:0e830400451993494058024219903391。经过php处理后会认为0*10^n。所以结果为零。
所以,我们可以找到字符串MD5加密后结果开头为0e的即可。所以我们的payload为
?id=a[]=s878926199a(s878926199a的MD5值为0e开头的字符串)。关于md5的一些加密字符串请看:
MD5值为0e开头的字符串