攻防世界-favorite

老样子进入环境,一段代码刷刷下来,闯进脑子里

这里就需要具备php语言的基础了,还有正则的基础,还不会的小伙伴,赶紧补一补

(注意php5.5.9这个版本)

分析一下代码:

if($stuff === $array && $stuff[0] != 'admin') //数组判断,强等于,首元素需要不等于 'admin'

if (preg_match("/^\d+$/im",$num)) //只允纯数字, 看到谋面的/m了吧,这是开启了多行匹配,所以呢

^和$不只是字符串匹配开头和结尾,这就是匹配每一行的开头和结尾. 用%a0换行,这样正则匹配就只能匹配到第一行.

if (!preg_match("/sh|wget|nc|python|php|perl|\?|flag|}|cat|echo|\*|\^|\]|\\\\|'|\"|\|/i",$num))

// 这里相当于一个黑名单,不允许有我们常用的可以执行的代码命令,把它们都过滤掉了

主要的代码部分都清楚了,步骤就绕过这三个if 执行里面的system

这第一给if就给我难住了,想了很久,要不然就是溢出,要不就是php5.5.9这个版本有什么漏洞,不然怎么构造payload 我也绕不过去,去逛了一圈,看到了一些资料,php5.5.26这版本有个整数溢出漏洞

小伙伴可以自己看一看: https://bugs.php.net/bug.php?id=69892

漏洞就是说数组中键值为0的元素与4294967296 //0x100000000 (0x开头表示16进制,换算过来就是4294967296)的元素是一样的

所以我们构造payload先绕过第一个if:

stuff[4294967296]=admin&stuff[1]=user&num=666

第一个if绕过

第二个if后面加%0a加ls /查看根目录

看到flag字样了,cat /flag猫一眼

好家伙,被过滤掉了,那么就要想想别的办法看了

https://blog.csdn.net/weixin_42373789/article/details/113451481可以参考参考绕过姿势,加上自己奇思妙想

stuff%5B4294967296%5D=admin&stuff%5B1%5D=user&num=666%0a ca``t /fl``ag

成功拿到flag,打完收工!

攻防世界-favorite_number相关推荐

攻防世界 favorite_number mfw、[BJDCTF2020]ZJCTF，不过如此
favorite_number 进入环境得到源码 <?php //php5.5.9 $stuff = $_POST["stuff"]; $array = ['admin', ...
攻防世界 web高手进阶区 9分题 favorite_number
前言继续ctf的旅程开始攻防世界web高手进阶区的9分题本文是favorite_number的writeup 解题过程进入界面简单的代码审计首先是个判断,既要数组强等于,又要首元素不等然 ...
攻防世界【favorite_number】解题方法
攻防世界[favorite_number]解题方法 1. 简单分析进入场景,直接给出了php源码 2. php数组下标溢出第一层绕过:绕过数组的比较 php中使用$_POST["stuf ...
攻防世界WEB练习-favorite_number
前言作者简介:不知名白帽,网络安全学习者. 博客主页:https://blog.csdn.net/m0_63127854?type=blog 攻防世界专栏:https://blog.csdn.net ...
攻防世界 web篇（二）
攻防世界 web篇(二) warmup favorite_number warmup shrine warmup $whitelist = ["source"=>" ...
攻防世界-web高手进阶区
文章目录攻防世界-web高手进阶区 1.baby_web 2.Training-WWW-Robots 3.Web_php_include (文件包含+伪协议) 1.方法 2.方法 4.ics-06( ...
【攻防世界001】Guess-the-Number
攻防世界之前刷了几十题了,没写wp,感觉很简单没啥意思.后来参加了几次比赛,发现有点干不动,决定还是老老实实刷题好了.这是第一篇wp,这题很简单,是个jar,用jd-gui可以得到java源码. 原来 ...
攻防世界(pwn)--Mary_Morton 利用格式化字符串+栈溢出破解Canary的保护机制
ctf(pwn) canary保护机制讲解与破解方法介绍程序执行流程有三个选项,1是利用栈溢出,2是利用格式化字符串,3是退出;可连续输入多次; IDA分析解题思路程序存在canary保护 ...
攻防世界(Pwn) forgot---栈溢出；(方法二)
攻防世界(Pwn) forgot-栈溢出:(方法一) 里面对问题描述的更详细一点返回目标函数 0x80486CC 方法二(爆破流) 因为最终返回的是 v3[0]-v3[9] 之中的一个函数, v3[ ...

攻防世界-favorite_number

攻防世界-favorite_number相关推荐

最新文章

热门文章