你真的会PHP吗？分值：30
- 来源： 实验吧
- 难度：中
- 参与人数：7258人
- Get Flag：1362人
- 答题人数：1665人
- 解题通过率：82%
你真的会PHP吗？
会？还是不会？
解题链接： http://ctf5.shiyanbar.com/web/PHP/index.php
1.看完源代码，没有有价值的信息，打开brup抓包会发现一个.txt,打开看一下
2.打开后发现是一个php程序，审计吧
<?php
$info = "";
$req = [];
$flag="xxxxxxxxxx";
ini_set("display_error", false);
error_reporting(0);
if(!isset($_POST['number'])){
header("hint:6c525af4059b4fe7d8c33a.txt");
die("have a fun!!");
}
foreach([$_POST] as $global_var) {
foreach($global_var as $key => $value) {
$value = trim($value);
is_string($value) && $req[$key] = addslashes($value);
}
}
function is_palindrome_number($number) {
$number = strval($number);
$i = 0;
$j = strlen($number) - 1;
while($i < $j) {
if($number[$i] !== $number[$j]) {
return false;
}
$i++;
$j--;
}
return true;
}
if(is_numeric($_REQUEST['number'])){ /*is_numeric — 检测变量是否为数字或数字字符串*/
$info="sorry, you cann't input a number!";
}elseif($req['number']!=strval(intval($req['number']))){
$info = "number must be equal to it's integer!! ";
}else{ $value1 = intval($req["number"]); $value2 = intval(strrev($req["number"])); if($value1!=$value2){ $info="no, this is not a palindrome number!"; }/*该数的反转的整数值应该和它本身的整数值相等*/
else{ if(is_palindrome_number($req["number"])){ /*palindrome number验证回文数字*/
$info = "nice! {$value1} is a palindrome number!"; }else{ $info=$flag; } } } echo $info;
也许你会问什么是回文数字？直接给例子
Example 1:
Input: 121 Output: true
Example 2:
Input: -121 Output: false Explanation: From left to right, it reads -121. From right to left, it becomes 121-. Therefore it is not a palindrome.
Example 3:
Input: 10 Output: false Explanation: Reads 01 from right to left. Therefore it is not a palindrome.
经过审计我们可以发现如果我们要拿到flag，POST的number需要满足以下条件：
1.不为空，且不能是一个数值型数字，包括小数。(由is_numeric函数判断)
2.不能是一个回文数。（is_palindrome_number判断）
3.该数的反转的整数值应该和它本身的整数值相等。即：
intval($req["number"])=intval(strrev($req["number"]))
2，3看似矛盾，但可以利用空格或空字符串提交，如0200%00、0200%20，构造post提交
通过科学计数法构造：0e%00 满足条件1和条件3。继续构造0e-0%00（经测试，0e+0%00是不可以的）满足所有条件。
