实验吧-你真的会php吗

你真的会php吗

原题链接

http://ctf5.shiyanbar.com/web/PHP/index.php

分析

burp抓包看到响应头中有一个hint。
hint: 6c525af4059b4fe7d8c33a.txt

得到源码

 $value) { 
        $value = trim($value);  #去除空白字符串
        is_string($value) && $req[$key] = addslashes($value); #如果value是字符串，将特殊字符加上反斜杠，转义
    } 
} 

// 判断是否是水仙花数（回文数）
function is_palindrome_number($number) { 
    $number = strval($number); 
    $i = 0; 
    $j = strlen($number) - 1; 
    while($i < $j) { 
        if($number[$i] !== $number[$j]) { 
            return false; 
        } 
        $i++; 
        $j--; 
    } 
    return true; 
} 


if(is_numeric($_REQUEST['number'])){
    
   $info="sorry, you cann't input a number!";

}elseif($req['number']!=strval(intval($req['number']))){
      
     $info = "number must be equal to it's integer!! ";  

}else{

     $value1 = intval($req["number"]);
     $value2 = intval(strrev($req["number"]));  

     if($value1!=$value2){
          $info="no, this is not a palindrome number!";
     }else{
          
          if(is_palindrome_number($req["number"])){
              $info = "nice! {$value1} is a palindrome number!"; 
          }else{
             $info=$flag;
          }
     }

}

echo $info;

代码不算难懂，逻辑上判断一个POST的数要满足下面四个条件：

1. number要是字符串，而不是数字
2. number变换为整型再变换成字符串要和原来number相等
3. number不能是一个水仙花数
4. number反转要和原来相等

条件1和2矛盾，3和4矛盾。

下面有两种办法解决：

1. number=0e00%00或者number=0e00%20
   %00表示空字符，%20表示空格，这样满足了字符串，相等。
   由于0是反转还是0，3,4也满足。
2. 利用函数溢出的方法
   number=2147483647%00
   从这一个题目里面学到一个新点
   那就是Intval最大的值取决于操作系统。
   32位系统最大带符号的 integer 范围是 -2147483648 到 2147483647。举例，在这样的系统上，intval('1000000000000') 会返回 2147483647。
   所以在第三个条件的时候翻转变成7463847412再变成整形也是2147483647，绕过第三个条件，第四个条件也就一起绕过了。

flag

第二遍复现时，环境挂了。。。在自己电脑上弄得环境，测试发现payload是正确的。

知识点

代码审计，intval(),溢出

参考链接

https://0verwatch.top/2018/03/18/phpcheck2/