bugku

bugku - 数组返回NULL绕过

<?php
$flag = "flag";
if (isset ($_GET['password'])) 
{
    if (ereg ("^[a-zA-Z0-9]+$", $_GET['password']) === FALSE)
    echo 'You password must be alphanumeric';
    else if (strpos ($_GET['password'], '--') !== FALSE)
    die('Flag: ' . $flag);else
    echo 'Invalid password';
}
?>

题中ereg()正则限制了password的形式，只能是一个或者多个数字、大小写字母

必须在password参数中找到"--"

strpos() 函数查找字符串在另一字符串中第一次出现的位置。

注释：strpos() 函数对大小写敏感。

PHP的很多函数都可以被数组绕过
ereg函数存在NULL截断漏洞，导致了正则过滤被绕过,所以可以使用%00截断正则匹配
ereg()只能处理字符串的，遇到数组做参数返回NULL，判断用的是 === ，要求类型也相同，而NULL跟FALSE类型是不同的,strpos()的参数同样不能为数组，否则返回NULL，而判断用的是 !== ，所以这里的条件成立，也能得到flag