本题相关函数:https://blog.csdn.net/zz_Caleb/article/details/88742009
响应头中有6c525af4059b4fe7d8c33a.txt,访问得源码:
<?php
$info = "";
$req = [];
$flag="xxxxxxxxxx";
ini_set("display_error", false);
error_reporting(0);
if(!isset($_POST['number'])){
header("hint:6c525af4059b4fe7d8c33a.txt");
die("have a fun!!");
}
foreach([$_POST] as $global_var) {
foreach($global_var as $key => $value) {
$value = trim($value);
is_string($value) && $req[$key] = addslashes($value);
}
}
function is_palindrome_number($number) {
$number = strval($number);
$i = 0;
$j = strlen($number) - 1;
while($i < $j) {
if($number[$i] !== $number[$j]) {
return false;
}
$i++;
$j--;
}
return true;
}
if(is_numeric($_REQUEST['number'])){
$info="sorry, you cann't input a number!";
}elseif($req['number']!=strval(intval($req['number']))){
$info = "number must be equal to it's integer!! ";
}else{
$value1 = intval($req["number"]);
$value2 = intval(strrev($req["number"]));
if($value1!=$value2){
$info="no, this is not a palindrome number!";
}else{
if(is_palindrome_number($req["number"])){
$info = "nice! {$value1} is a palindrome number!";
}else{
$info=$flag;
}
}
}
echo $info;
首先,我们上传的数据作为键值数值存储在req中。
仔细分析源码,发现要想打印出flag,需要做的有这几项:
1)不能上传数值类型的数据
2) 上传的数强制转换成整数的字符串形式和其自身相等
3) 不能是回文串但反转后的整数值相等
url编码在处理中是被忽略的,可以利用这个特点绕过。
结合前辈们的wp,有这两种方法:
1)post:number=2147483647%00
2147483647是PHP整数的最大值,反转后的值会溢出,然而比最大值大的值会设为最大值,这样反转后就相等了,而且也不是回文串。
2)post:number=0e-0%00
这个利用了0和自身相等,也可传递number=0e+0%00。