实验吧-web-你真的会PHP吗？(php审计)☆

本题相关函数：https://blog.csdn.net/zz_Caleb/article/details/88742009

响应头中有6c525af4059b4fe7d8c33a.txt，访问得源码：

<?php


$info = ""; 
$req = [];
$flag="xxxxxxxxxx";

ini_set("display_error", false); 
error_reporting(0); 


if(!isset($_POST['number'])){
   header("hint:6c525af4059b4fe7d8c33a.txt");

   die("have a fun!!"); 
}

foreach([$_POST] as $global_var) { 
    foreach($global_var as $key => $value) { 
        $value = trim($value); 
        is_string($value) && $req[$key] = addslashes($value); 
    } 
} 


function is_palindrome_number($number) { 
    $number = strval($number); 
    $i = 0; 
    $j = strlen($number) - 1; 
    while($i < $j) { 
        if($number[$i] !== $number[$j]) { 
            return false; 
        } 
        $i++; 
        $j--; 
    } 
    return true; 
} 


if(is_numeric($_REQUEST['number'])){
    
   $info="sorry, you cann't input a number!";

}elseif($req['number']!=strval(intval($req['number']))){
      
     $info = "number must be equal to it's integer!! ";  

}else{

     $value1 = intval($req["number"]);
     $value2 = intval(strrev($req["number"]));  

     if($value1!=$value2){
          $info="no, this is not a palindrome number!";
     }else{
          
          if(is_palindrome_number($req["number"])){
              $info = "nice! {$value1} is a palindrome number!"; 
          }else{
             $info=$flag;
          }
     }

}

echo $info;

首先，我们上传的数据作为键值数值存储在req中。

仔细分析源码，发现要想打印出flag，需要做的有这几项：

1）不能上传数值类型的数据

2） 上传的数强制转换成整数的字符串形式和其自身相等

3） 不能是回文串但反转后的整数值相等

url编码在处理中是被忽略的，可以利用这个特点绕过。

结合前辈们的wp，有这两种方法：

1）post：number=2147483647%00

2147483647是PHP整数的最大值，反转后的值会溢出，然而比最大值大的值会设为最大值，这样反转后就相等了，而且也不是回文串。

2）post：number=0e-0%00

这个利用了0和自身相等，也可传递number=0e+0%00。