前言
这个项目很久就看到了，一直没认真学习。这几天被角膜炎折磨的很难受，一天学不了多久眼睛就疼了，来玩玩这个项目吧。
知识点
1： in_array 绕过
in_array
(PHP 4, PHP 5, PHP 7)
in_array — 检查数组中是否存在某个值
说明 ¶
in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] ) : bool
大海捞针，在大海（haystack）中搜索针（ needle），如果没有设置 strict 则使用宽松的比较。
参数 ¶
needle
待搜索的值。
Note:
如果 needle 是字符串，则比较是区分大小写的。
haystack
待搜索的数组。
strict
如果第三个参数 strict 的值为 TRUE 则 in_array() 函数还会检查 needle 的类型是否和 haystack 中的相同。
返回值 ¶
如果找到 needle 则返回 TRUE，否则返回 FALSE。
例如文件名为 7shell.php 。因为PHP在使用 in_array() 函数判断时，会将 7shell.php 强制转换成数字7，而数字7在 range(1,24) 数组中，最终绕过 in_array() 函数判断。（这里之所以会发生强制类型转换，是因为目标数组中的元素为数字类型）
2:不能使用拼接函数的 updatexml 注入
当 updatexml 中存在特殊字符或字母时，会出现报错，报错信息为特殊字符、字母及之后的内容，也就是说如果我们想要查询的数据是数字开头，例如 7701HongRi ，那么查询结果只会显示 HongRi 。所以我们会看到很多 updatexml 注入的 payload 是长这样的 and updatexml(1,concat(0x7e,(SELECT user()),0x7e),1) ,在所要查询的数据前面凭借一个特殊符号(这里的 0x7e 为符号 ‘~’ )。
一个常见的报错注入payload
updatexml(1,concat(0x7e,(SELECT @@version),0x7e),1)
但是我们这里不能这样使用，因为waf把concat等常见字符串拼接函数过滤了。
这里的话我们可以使用冷门的字符串处理函数绕过
make_set函数
MAKE_SET(bits,str1,str2,...)
返回一个设定值 (一个包含被‘,’号分开的字字符串的字符串) ，由在bits 组中具有相应的比特的字符串组成。str1 对应比特 0, str2 对应比特1,以此类推。str1, str2, ...中的 NULL值不会被添加到结果中。
mysql> SELECT MAKE_SET(1,'a','b','c');
-> 'a'
mysql> SELECT MAKE_SET(1 | 4,'hello','nice','world');
-> 'hello,world'
mysql> SELECT MAKE_SET(1 | 4,'hello','nice',NULL,'world');
-> 'hello'
mysql> SELECT MAKE_SET(0,'a','b','c');
-> ''
bits应将期转为二进制，如，1为，0001,倒过来排序，则为1000,将bits后面的字符串str1,str2等，放置在这个倒过来的二进制排序中，取出值为1对应的字符串，则得到hello
1|4表示进行或运算，为0001 | 0100,得0101，倒过来排序，为1010，则'hello','nice','world'得到的是hello word。'hello','nice',NULL,'world'得到的是hello。null不取，只有1才取对应字符串
类似的函数：lpad()、reverse()、repeat()、export_set()（lpad()、reverse()、repeat()这三个函数使用的前提是所查询的值中，必须至少含有一个特殊字符，否则会漏掉一些数据）。
还有一个要注意的是：updatexml报错最多只能显示32位，这种情况下我们结合SUBSTR函数来获取数据就行了。
分析源码
在下图第11~13行处，程序把用户的ID值存储在 $whitelist 数组中，然后将用户传入的 id 参数先经过stop_hack函数过滤，然后再用 in_array 来判断用户传入的 id 参数是否在 $whitelist 数组中。这里的白名单是数字1~5.
这里 in_array 函数没有使用强匹配，所以是可以绕过的，例如： id=1’ 是可以成功绕过 in_array 函数的。即经过强制类型转换后id=1
payload
127.0.0.1:88/day1/?id=1 and (select updatexml(1,make_set(3,'~',(select flag from flag)),1))
