BUU [vnctf2023]电子木鱼

BUU [vnctf2023]电子木鱼

先看看题目，点不了。

看看源码。Rust整数溢出。

在 Rust 中，整数类型默认是有符号整数类型，意味着这些整数类型可以表示正数和负数。对于有符号整数类型，最高位用来表示符号，0 表示正数，1 表示负数。 当一个正数进行整数溢出时，也就是它的值超过了它的类型所能表示的最大值，这个值会被截断为该类型的最小值。因为有符号整数类型的最高位表示符号，当这个值被截断时，最高位的值会变成 1，表示这个值是一个负数。 举个例子，假设使用 Rust 的 i8 类型，它的最大值是 127，最小值是 -128。如果一个 i8 类型的值为 120，然后将它加上 10，那么它的值就会溢出，变成 -126。这是因为 120 + 10 = 130，而 130 超过了 i8 类型的最大值 127，所以这个值会被截断为 -128 + (130 - 128) = -126。 因此，在 Rust 中，正数进行整数溢出后的结果会变成负数，这是由于有符号整数类型的设计所决定的。

核心代码：

const PAYLOADS: &[Payload] = &[
    Payload {
        name: "Cost",
        cost: 10,
    },
    Payload {
        name: "Loan",
        cost: -1_000,
    },
    Payload {
        name: "CCCCCost",
        cost: 500,
    },
    Payload {
        name: "Donate",
        cost: 1,
    },
    Payload {
        name: "Sleep",
        cost: 0,
    }
-----------------------------------------------------------------------------------------
 if GONGDE.get() > 1_000_000_000 {
        context.insert(
            "flag",
            &std::env::var("FLAG").unwrap_or_else(|_| "flag{test_flag}".to_string()),
        );
    }
-----------------------------------------------------------------------------------------
if cost != 0 {
            GONGDE.set(GONGDE.get() - cost as i32);
        }
-----------------------------------------------------------------------------------------
#[post("/upgrade")]
async fn upgrade(body: web::Form) -> Json {
    if GONGDE.get() < 0 {
        return web::Json(APIResult {
            success: false,
            message: "功德都搞成负数了，佛祖对你很失望",
        });
    }

    if body.quantity <= 0 {
        return web::Json(APIResult {
            success: false,
            message: "佛祖面前都敢作弊，真不怕遭报应啊",
        });
    }

    if let Some(payload) = PAYLOADS.iter().find(|u| u.name == body.name) {
        let mut cost = payload.cost;

        if payload.name == "Donate" || payload.name == "Cost" {
            cost *= body.quantity;
        }

        if GONGDE.get() < cost as i32 {
            return web::Json(APIResult {
                success: false,
                message: "功德不足",
            });
        }

        if cost != 0 {
            GONGDE.set(GONGDE.get() - cost as i32);
        }

        if payload.name == "Cost" {
            return web::Json(APIResult {
                success: true,
                message: "小扣一手功德",
            });
        } else if payload.name == "CCCCCost" {
            return web::Json(APIResult {
                success: true,
                message: "功德都快扣没了，怎么睡得着的",
            });
        } else if payload.name == "Loan" {
            return web::Json(APIResult {
                success: true,
                message: "我向佛祖许愿，佛祖借我功德，快说谢谢佛祖",
            });
        } else if payload.name == "Donate" {
            return web::Json(APIResult {
                success: true,
                message: "好人有好报",
            });
        } else if payload.name == "Sleep" {
            return web::Json(APIResult {
                success: true,
                message: "这是什么？床，睡一下",
            });
        }
    }

    web::Json(APIResult {
        success: false,
        message: "禁止开摆",
    })
}

post(“/upgrade”) //在/upgrade后台POST

//如果name=Cost，那么cost=10

//当GONGDE.get() > 1_000_000_000时返回flag

cost *= body.quantity; //在name=Donate或者Cost时，cost=cost乘quantity,超出上限会溢出（截断）

GONGDE.set(GONGDE.get() - cost as i32); //在i32情况下，GONGDE.get() =GONGDE.get() -cost，所以如果GONGDE.get() 要增加，cost<0

payload：
name=Cost&quantity=2100000000