1、MD5 collision

<?php
$md51 = md5('QNKCDZO');
$a = @$_GET['a'];
$md52 = @md5($a);
if(isset($a)){
if ($a != 'QNKCDZO' && $md51 == $md52) {
    echo "nctf{*****************}";
} else {
    echo "false!!!";
}}
else{echo "please input a";}
?>

首先來就題論題，題目要求get請求為引數a傳參，並且引數值不等於QNKCDZO，但是兩者的md5值要相同。這是由於php弱型別導致的bug，百度上有這些：

var_dump(md5('240610708') == md5('QNKCDZO'));
var_dump(md5('aabg7XSs') == md5('aabC9RqS'));
var_dump(sha1('aaroZmOk') == sha1('aaK1STfY'));
var_dump(sha1('aaO8zKZF') == sha1('aa3OFF9m'));
var_dump('0010e2' == '1e3');
var_dump('0x1234Ab' == '1193131');
var_dump('0xABCdef' == ' 0xABCdef');

bool(true) bool
 
(true) bool(true) bool(true) bool(true) bool(true) bool(true) 

都是ture。這道題的話直接給a傳入240610708就可以得到flag了。

—————–不華麗的分割線—————-

為什麼上面的式子成立呢？

php在處理hash字串的時候會用到!=,==來進行hash比較，如果hash值以0e開頭，後邊都是*數字*，再與數字比較，就會被解釋成0*10^n還是為0，就會被判斷相等。上面的hash值都是0xe(數字)。

var_dump("0e1234abc"=="0") 0e後面不是數字了就判斷為false

要是換成”===”呢？

都為false。由於php是弱型別語言，相等(==)只判斷兩者的值是否相等，並且在比較前將其型別轉換為一致再進行比較；

而全等（===）是判斷型別和值，當兩者的型別和值都相等值才為true。

我們可以探測一下後臺密碼儲存的方式，把你的密碼設成 0x1234Ab，然後退出登入再登入，換密碼 1193131 登入，如果登入成功，那麼密碼絕對是明文儲存的；同理，密碼設定為 240610708，換密碼 QNKCDZO 登入能成功，那麼密碼沒加鹽直接md5儲存的。

最後，密碼比較的時候要用hash_equls()比較。（(PHP 5 >= 5.6.0, PHP 7)）

2、檔案包含

訪問連線這就是一個典型的檔案包含的漏洞
遇到了這樣的檔案包含漏洞，就可以使用filter的方式讀取php的原始碼了。用法如下：

http://4.chinalover.sinaapp.com/web7/index.php?file=php://filter/read=convert.base64-encode/resourc=index.php

檢視手冊可以看到php有許多協議
- file:// — 訪問本地檔案系統
- http:// — 訪問 HTTP(s) 網址
- ftp:// — 訪問 FTP(s) URLs
- php:// — 訪問各個輸入/輸出流（I/O streams）
- zlib:// — 壓縮流
- data:// — 資料（RFC 2397）
- glob:// — 查詢匹配的檔案路徑模式
- phar:// — PHP 歸檔
- ssh2:// — Secure Shell 2
- rar:// — RAR
- ogg:// — 音訊流
- expect:// — 處理互動式的流

此題涉及的是php://（訪問各個輸入輸出流的協議）

php://filter 是一種元封裝器， 設計用於資料流開啟時的篩選過濾應用。 這對於一體式（all-in-one）的檔案函式非常有用，類似 readfile()、 file() 和 file_get_contents()， 在資料流內容讀取之前沒有機會應用其他過濾器。

php://filter 目標使用以下的引數作為它路徑的一部分。 複合過濾鏈能夠在一個路徑上指定。詳細使用這些引數可以參考具體範例。

——–分割線———

php.net中兩個基本的例子:

<?php
/* 這會以大寫字母輸出 www.example.com 的全部內容 */


readfile(“php://filter/read=string.toupper/resource=http://www.example.com”);



<?php
/* 這會通過 rot13 過濾器篩選出字元 “Hello World”
  然後寫入當前目錄下的 example.txt */


file_put_contents(“php://filter/write=string.rot13/resource=example.txt”,”Hello World”);


在這個例子中，php會先把Hello World字串做string.rot13轉換然後再寫入檔案，這在場景A中會有用到。

2、利用場景

A．在黑哥（膜拜黑哥）的關於[技術挑戰-2]有提到，這裡只說和php://filter有關的部分。

下面一段程式碼：

<?php
$str = ‘<?php exit(\’74\’);?>’.$_GET[‘c’];
$fname = $_GET[‘f’];
file_put_contents($fname,$str);

如何成功將phpinfo();寫入檔案並執行？利用上面提到的基礎知識可以提交如下連結：

http://127.0.0.1:81/test.php?f=php%3A%2f%2ffilter%2fwrite%3Dconvert.base64-decode%2fresource%3Dwebshell.php&c=dddPD9waHBpbmZvKCk7Pz4

值得注意的有兩點：

1). base64_decode()會忽略要解碼字串中無效字元像<>?;等，這裡給出base64_decode()函式忽略無效字元相應的c函式程式碼

   ch = base64_reverse_table[ch];
    if ((!strict && ch < 0) || ch == -1) { /* a space or some other separator character, we simply skipo    ver */                    continue;
    } else if (ch == -2) {
         efree(result);
         return NULL;
    }

2). 將

<?php 
include($_GET[‘file’]);

你想檢視和本程式碼同一目錄下config.php的內容。如何檢視呢

http://127.0.0.1:81/test.php?file=php://filter/convert.base64-encode/resource=config.php

3、sql3

4、ereg()漏洞
ereg()在讀到%00就不再往下讀了
更多php常見漏洞

不過，手冊告訴我們：

This function was DEPRECATED in PHP 5.3.0, and REMOVED in PHP 7.0.0.

Alternatives to this function include:

preg_match()

5、bypass again

也是php弱型別導致的漏洞
md5()函式本來只能接收String型別的引數的，如果接收一個數組型別則值為null。
md5()函式也不提倡來儲存使用者的密碼，
關於密碼雜湊的知識

6、pass check

php strcmp()函式的漏洞

在官方的文件有這麼一端說明：

Note a difference between 5.2 and 5.3 versions

echo (int)strcmp('pending',array());
will output -1 in PHP 5.2.16 (probably in all versions prior 5.3)
but will output 0 in PHP 5.3.3

Of course, you never need to use array as a parameter in string comparisions.

大概意思就是5.3的之前和之後版本在使用strcmp比較陣列和字串時候的差異。在5.3的版本之後使用這個函式比較會返回0。

7、綜合題

考查linux下歷史檢視的命令

history命令：

history 快速找到之前出現過的命令；

history N 顯示最近的N條命令；

history -d N 刪除第N條命令，N為前面的編號數；

history -c 清空歷史命令；

注:清除history之後，.bash_history裡仍會有歷史記錄，如何不讓系統記錄歷史命令：
export HISTSIZE=0

history -a 將當前會話中的命令歷史寫入指定檔案；

history | grep -i “xxx” 模糊查詢

那什麼是指定檔案呢？
就是歷史記錄的環境變數資訊，它通常會儲存在使用者家目錄下的.bash_history。

vim .bash_history檢視內容

echo $HISTFILE 使用此命令檢視環境變數

echo $HISTFILESIZE 檢視最大儲存數目

改變環境變數

export HISTCONTROL=ignoreboth

Don’t save duplicates

export HISTSIZE=10000

*這個是針對history命令的設定，The number of commands to remember in the command history. The default value is 500
*
export HISTFILESIZE=10000

這個是針對history檔案(.bash_history)的設定，The maximum number of lines contained in the history file. When this variable is assigned a value, the his-tory file is truncated, if necessary, by removing the oldest entries, to contain no more than that number of lines. The default value is 500. The history file is also truncated to this size after writing it when an interactive shell exits.

export HISTIGNORE=’ls’

*A colon-separated list of patterns used to decide which command lines should be saved on the history list.Each pattern is anchored at the beginning of the line and must match the complete line
*
以上的關於history的說明都可以使用man bash查的到,如果想要讓你的配置永久生效，可以把export命令寫到.bash_profile或者全域性配置檔案/etc/profile裡

8、密碼重置

vim下的備份檔案，一般情況下備份檔案一般都是myfile.txt~或者是.myfile.txt.swp

（這只是個人做題過程中的一些筆記心得，歡迎批評指正）