当前位置：首页 > news >正文

BUUCTF_[安洵杯 2019]easy_web（preg_match绕过/MD5强碰撞绕过/代码审计）

news 2025/7/7 20:56:54

打开靶场，出现下面的静态html页面，也没有找到什么有价值的信息。

查看页面源代码

在url里发现了img传参还有cmd

求img参数

这里先从img传参入手，这里我发现img传参好像是base64的样子

进行解码，解码之后还像是base64的样子再次进行解码

这个数好像是16进制的，进行16进制转换成字符串

这里利用这个原理，先将index.php16进制编码，然后进行两次base64编码

输入img=TmprMlpUWTBOalUzT0RKbE56QTJPRGN3，但是页面没反应，尝试Burp抓包，发送到重放器，在Burp上修改img的参数，发现类似base64的字符，尝试base64解码

<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {echo '<img src ="./ctf3.jpeg">';die("xixi～ no flag");
} else {$txt = base64_encode(file_get_contents($file));echo "<img src='data:image/gif;base64," . $txt . "'></img>";echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {echo `$cmd`;} else {echo ("md5 is funny ~");}
}?>
<html>
<style>body{background:url(./bj.png)  no-repeat center center;background-size:cover;background-attachment:fixed;background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

php代码审计

1. 错误报告和字符编码设置

error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');

error_reporting(E_ALL || ~ E_NOTICE);：设置错误报告级别，表示报告除了 E_NOTICE 级别的所有错误。
header('content-type:text/html;charset=utf-8');：设置 HTTP 响应头，指定返回内容的类型为 HTML，字符编码为 UTF - 8。

2. 获取用户输入并进行重定向

$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd'])) header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');

$cmd = $_GET['cmd'];：从 GET 请求中获取 cmd 参数的值。
if 语句检查是否传递了 img 和 cmd 参数，如果没有传递，则使用 header 函数进行页面重定向，跳转到 index.php 并附带默认的 img 和空的 cmd 参数。

3. 处理图片文件路径

$file = hex2bin(base64_decode(base64_decode($_GET['img'])));
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {echo '<img src ="./ctf3.jpeg">';die("xixi～ no flag");
} else {$txt = base64_encode(file_get_contents($file));echo "<img src='data:image/gif;base64," . $txt . "'></img>";echo "<br>";
}

$file = hex2bin(base64_decode(base64_decode($_GET['img'])));：对 img 参数进行两次 Base64 解码，再进行十六进制解码，得到文件路径。
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);：使用正则表达式过滤文件路径，只保留字母、数字和点号，防止目录遍历等攻击。
if (preg_match("/flag/i", $file))：检查文件路径中是否包含 flag 字样，如果包含则显示一张图片并终止程序。
若不包含 flag，使用 file_get_contents 读取文件内容，进行 Base64 编码后以 data URI 的形式显示图片。

preg_replace
正则表达式函数，用于在字符串中执行搜索和替换操作。
语法: preg_replace(pattern, replacement, subject[, limit = -1[, count]])
- pattern ：要搜索的正则表达式模式。
- replacement ：用于替换匹配内容的字符串或回调函数。
- subject ：要进行搜索和替换的目标字符串或字符串数组。
- limit ：可选参数，指定最多替换的次数，默认 -1 表示无限制。
- count ：可选参数，用于存储实际替换的次数。

preg_match
用于执行正则表达式匹配的函数。
语法：preg_match(pattern, subject[, matches[, flags = 0[, offset = 0]]])
- pattern ：要匹配的正则表达式模式。
- subject ：要进行匹配操作的目标字符串。
- matches ：可选参数，用于存储匹配结果的数组。如果匹配成功， matches[0] 将包含完整的匹配文本， matches[1] 等将包含正则表达式中捕获组匹配的内容。
- flags ：可选参数，用于指定匹配的标志，常用的有 PREG_OFFSET_CAPTURE ，会使 matches 数组中的每个元素成为一个包含匹配文本和其在 subject 中偏移量的数组。
- offset ：可选参数，指定从 subject 字符串的哪个位置开始匹配，默认为0。

4. 处理命令执行（preg_match绕过，MD5强绕过）

echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {echo("forbid ~");echo "<br>";
} else {if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {echo `$cmd`;} else {echo ("md5 is funny ~");}
}

输出 cmd 参数的值。
echo "<br>"中<br>表示换行。
使用正则表达式检查 cmd 参数是否包含危险字符或命令，如果包含则输出 forbid ~。
若不包含危险字符，检查 POST 请求中的 a 和 b 参数，要求它们的字符串形式不相等，但 MD5 哈希值相等。如果满足条件，则执行 cmd 参数中的命令并输出结果；否则输出 md5 is funny ~。

5. HTML 部分

<html>
<style>body{background:url(./bj.png)  no-repeat center center;background-size:cover;background-attachment:fixed;background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>

设置页面的背景图片，使其居中显示、覆盖整个页面，并且固定背景。

思路

求cmd参数

cmd未知，如果要输出cmd，，，

1.POST 请求中的 a 和 b 参数，要求它们的字符串形式不相等，但 MD5 哈希值相等。

MD5 碰撞漏洞：代码依赖 MD5 哈希值的比较来决定是否执行命令，而 MD5 算法存在碰撞漏洞，攻击者可以找到两个不同的字符串，它们的 MD5 哈希值相同。
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b']))

2.绕过preg_match过滤函数包含的

命令过滤不彻底：虽然代码对 cmd 参数进行了过滤，但可能存在绕过的方法，例如使用其他未被过滤的命令或特殊字符组合。
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|$|$|\&[^\d]|@|\||\\$|\[|\]|{|}|$|$|-|<|>/i", $cmd))

MD5 是一种广泛使用的哈希函数，但它存在强碰撞和弱碰撞的问题

哈希碰撞

哈希函数是一种将任意长度的输入数据转换为固定长度输出（哈希值）的算法。理想情况下，不同的输入应该产生不同的哈希值，但由于哈希值的长度是固定的，而输入数据的可能性是无限的，所以必然会存在不同的输入产生相同哈希值的情况。

MD5 弱碰撞

找到一个与给定消息不同但哈希值相同的另一个消息。

MD5 强碰撞

强碰撞是指找到任意两个不同的消息m1和m2,使得它们的哈希值相同。与弱碰撞不同，强碰撞不需要预先给定一个消息。

方法

过滤函数是preg_match，使用/来进行绕过。

if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b']))

使用了 (string) 强制类型转换，数组都被强制转换为了string(5) “Array”，数组绕过方法失效，所以要采用 MD5 强碰撞的方式来绕过此限制。

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

原理：原本payload字符串中含有多种空白符号，MD5加密后hash值相等(空白符号不影响md5值)。但是我们上传参数时会自动进行一次url解码，这样过后因为空白字符两个url就不相等了，从而成功绕过

改为POST请求，

（不清楚是哪里出问题了，，，按大佬的wp的步骤做，换了好几种方法，但响应不正确）

cmd传参处传入dir

cmd=l\s%20/

cmd=cat flag=>ca\t%20/f\l\a\g

（参数a,b的值的求法暂时没弄清楚）

参考链接：buuctf-[安洵杯 2019]easy_web(小宇特详解)

BUUCTF_[安洵杯 2019]easy_web（preg_match绕过/MD5强碰撞绕过/代码审计）

打开靶场，出现下面的静态html页面，也没有找到什么有价值的信息。查看页面源代码在url里发现了img传参还有cmd 求img参数这里先从img传参入手，这里我发现img传参好像是base64的样子进行解码，解码之后还像是base64的样子再次进…...

编程日记 2025/2/4 18:09:27

Vue05

目录一、学习目标 1.自定义指令 2.插槽 3.综合案例：商品列表 4.路由入门二、自定义指令 1.指令介绍 2.自定义指令 3.自定义指令的语法三、自定义指令-指令的值 1.需求 2.语法 3.代码示例五、插槽-默认插槽 1.作用 2.需求 4.使用插槽的基本语法…...

编程日记 2025/2/4 18:04:18

ubuntu18.04环境下，Zotero 中pdf translate划线后不翻译问题解决

问题： 如果使用fastgithub，在/etc/profile中设置全局代理，系统重启后会产生划线后不翻译的问题，包括所有翻译代理均不行。终端中取消fastgithub代理，也不行。解决： 1）不在/etc/profile中设置…...

编程日记 2025/2/4 18:03:15

基于Python的简单企业维修管理系统的设计与实现

以下是一个基于Python的简单企业维修管理系统的设计与实现，这里我们会使用Flask作为Web框架，SQLite作为数据库来存储相关信息。 1. 需求分析企业维修管理系统主要功能包括： 维修工单的创建、查询、更新和删除。设备信息的管理。维修人员…...

编程日记 2025/2/4 17:57:08

【C++】B2120 单词的长度

博客主页： [小ᶻ☡꙳ᵃⁱᵍᶜ꙳] 本文专栏: C 文章目录 💯前言💯题目描述💯我的做法代码实现：思路解析： 💯老师的第一种做法代码实现：思路解析： 💯老师的…...

编程日记 2025/2/4 17:48:00

2501,编写dll

DLL的优点简单的说,dll有以下几个优点: 1)节省内存.同一个软件模块,若是源码重用,则会在不同可执行程序中编译,同时运行这些exe时,会在内存中重复加载这些模块的二进制码. 如果使用dll,则只在内存中加载一次,所有使用该dll的进程会共享此块内存(当然,每个进程会复制一份的d…...

编程日记 2025/2/4 17:46:58

【router路由的配置】

router路由的配置 App.vuerouter在main.ts引入插件 App.vue <template><RouterView /> </template><script setup lang"ts"></script><style scoped lang"scss"></style>router import { createRouter, creat…...

编程日记 2025/2/4 17:42:52

算法基础——一致性

引入最早研究一致性的场景既不是大数据领域，也不是分布式系统，而是多路处理器。可以将多路处理器理解为单机计算机系统内部的分布式场景，它有多个执行单元，每一个执行单元都有自己的存储(缓存)，一个执行单元修改了…...

编程日记 2025/2/4 17:40:50

刷题记录动态规划-6: 62. 不同路径

题目：62. 不同路径难度：中等一个机器人位于一个 m x n 网格的左上角 （起始点在下图中标记为 “Start” ）。机器人每次只能向下或者向右移动一步。机器人试图达到网格的右下角（在下图中标记为 “Finish” &#x…...

编程日记 2025/2/4 17:36:41

docker直接运行arm下的docker

运行环境是树莓派A 处理器是 arm32v6 安装了docker，运行lamp 编译安装php的时候发现要按天来算，于是用电脑vm下的Ubuntu系统运行arm的docker 然后打包到a直接导入运行就可以了第一种方法 sudo apt install qemu-user-static 导入直接运行就可以了…...

编程日记 2025/2/4 17:35:41

014-STM32单片机实现矩阵薄膜键盘设计

1.功能说明本设计主要是利用STM32驱动矩阵薄膜键盘，当按下按键后OLED显示屏上会对应显示当前的按键键值，可以将此设计扩展做成电子秤、超市收银机、计算器等需要多个按键操作的单片机应用。 2.硬件接线模块管脚STM32单片机管脚矩阵键盘行1PA0矩阵键盘…...

编程日记 2025/2/4 17:32:37

Sentinel 断路器在Spring Cloud使用

文章目录 Sentinel 介绍同类对比微服务雪崩问题问题原因问题解决方案请求限流线程隔离失败处理服务熔断解决雪崩问题的常见方案有哪些？ Sentineldocker 安装账号/ 密码项目导入簇点链路请求限流线程隔离Fallback服务掉线时的处理流程服务熔断 Sentinel 介绍随着微…...

编程日记 2025/2/4 17:29:34

[内网安全] 内网渗透 - 学习手册

这是一篇专栏的目录文档，方便读者系统性的学习，笔者后续会持续更新文档内容。如果没有特殊情况的话，大概是一天两篇的速度。（实验多或者节假日，可能会放缓） 笔者也是一边学习一边记录笔记，如果…...

编程日记 2025/2/4 17:24:27

算法总结-二分查找

文章目录 1.搜索插入位置1.答案2.思路 2.搜索二维矩阵1.答案2.思路 3.寻找峰值1.答案2.思路 4.搜索旋转排序数组1.答案2.思路 5.在排序数组中查找元素的第一个和最后一个位置1.答案2.思路 6.寻找旋转排序数组中的最小值1.答案2.思路 1.搜索插入位置 1.答案 package com.sunxi…...

编程日记 2025/2/4 17:23:26

基于python的Kimi AI 聊天应用

因为这几天deepseek有点状况，导致apikey一直生成不了，用kimi练练手。这是一个基于 Moonshot AI 的 Kimi 接口开发的聊天应用程序，使用 Python Tkinter 构建图形界面。项目结构项目由三个主要Python文件组成： 1. main_kimi.py…...

编程日记 2025/2/4 17:21:24

动手学深度学习-3.2 线性回归的从0开始

以下是代码的逐段解析及其实际作用： 1. 环境设置与库导入 %matplotlib inline import random import torch from d2l import torch as d2l作用： %matplotlib inline：在 Jupyter Notebook 中内嵌显示 matplotlib 图形。random：生成…...

编程日记 2025/2/4 17:19:22

Spring 面试题【每日20道】【其二】

1、Spring MVC 具体的工作原理？ 中等 Spring MVC 是 Spring 框架的一部分，专门用于构建基于Java的Web应用程序。它采用模型-视图-控制器（MVC）架构模式，有助于分离应用程序的不同方面，如输入逻辑、业务逻辑…...

编程日记 2025/2/4 17:15:16

嵌入式八股文面试题（一）C语言部分

1. 变量/函数的声明和定义的区别？ （1）变量定义不仅告知编译器变量的类型和名字，还会分配内存空间。 int x 10; // 定义并初始化x int x; //同样是定义声明只是告诉编译器变量的名字和类型，但并不为它分配内存空间…...

编程日记 2025/2/4 17:12:12

Vue06

目录一、声明式导航-导航链接 1.需求 2.解决方案 3.通过router-link自带的两个样式进行高亮二、声明式导航的两个类名 1.router-link-active 2.router-link-exact-active 三、声明式导航-自定义类名（了解） 1.问题 2.解决方案 3.代码演示四…...

编程日记 2025/2/4 17:07:07

deepseek-r1模型本地win10部署

转载自大佬：高效快速教你deepseek如何进行本地部署并且可视化对话 deepseek 如果安装遇到这个问题 Error: Post “http://127.0.0.1:11434/api/show”: read tcp 127. 用管理员cmd打开接着再去切换盘符d: cd 文件夹重新下载模型：ollama run deepseek…...

编程日记 2025/2/4 17:05:05

label-studio的使用教程(导入本地路径)

文章目录 1. 准备环境2. 脚本启动2.1 Windows2.2 Linux 3. 安装label-studio机器学习后端3.1 pip安装(推荐)3.2 GitHub仓库安装 4. 后端配置4.1 yolo环境4.2 引入后端模型4.3 修改脚本4.4 启动后端 5. 标注工程5.1 创建工程5.2 配置图片路径5.3 配置工程类型标签5.4 配置模型5.…...

编程新知 2025/7/7 6:42:33

Nuxt.js 中的路由配置详解

Nuxt.js 通过其内置的路由系统简化了应用的路由配置，使得开发者可以轻松地管理页面导航和 URL 结构。路由配置主要涉及页面组件的组织、动态路由的设置以及路由元信息的配置。自动路由生成 Nuxt.js 会根据 pages 目录下的文件结构自动生成路由配置。每个文件都会对…...

编程新知 2025/7/7 0:36:37

python爬虫：Newspaper3k 的详细使用（好用的新闻网站文章抓取和解析的Python库）

更多内容请见：爬虫和逆向教程-专栏介绍和目录文章目录一、Newspaper3k 概述1.1 Newspaper3k 介绍1.2 主要功能1.3 典型应用场景1.4 安装二、基本用法2.2 提取单篇文章的内容2.2 处理多篇文档三、高级选项3.1 自定义配置3.2 分析文章情感四、实战案例4.1 构建新闻摘要聚合器…...

编程新知 2025/6/21 6:25:06

C++使用 new 来创建动态数组

问题： 不能使用变量定义数组大小原因： 这是因为数组在内存中是连续存储的，编译器需要在编译阶段就确定数组的大小，以便正确地分配内存空间。如果允许使用变量来定义数组的大小，那么编译器就无法在编译时确定数组的大…...

编程新知 2025/7/6 14:24:18

Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习）

Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习） 一、Aspose.PDF 简介二、说明（⚠️仅供学习与研究使用）三、技术流程总览四、准备工作1. 下载 Jar 包2. Maven 项目依赖配置五、字节码修改实现代码&#…...

编程新知 2025/7/6 17:46:52

STM32---外部32.768K晶振（LSE）无法起振问题

晶振是否起振主要就检查两个1、晶振与MCU是否兼容；2、晶振的负载电容是否匹配目录一、判断晶振与MCU是否兼容二、判断负载电容是否匹配 1. 晶振负载电容（CL）与匹配电容（CL1、CL2）的关系 2. 如何选择 CL1 和 CL…...

编程新知 2025/7/6 7:33:16

掌握 HTTP 请求：理解 cURL GET 语法

cURL 是一个强大的命令行工具，用于发送 HTTP 请求和与 Web 服务器交互。在 Web 开发和测试中，cURL 经常用于发送 GET 请求来获取服务器资源。本文将详细介绍 cURL GET 请求的语法和使用方法。一、cURL 基本概念 cURL 是 "Client URL" 的缩写…...

编程新知 2025/6/21 2:52:10

LCTF液晶可调谐滤波器在多光谱相机捕捉无人机目标检测中的作用

中达瑞和自2005年成立以来，一直在光谱成像领域深度钻研和发展，始终致力于研发高性能、高可靠性的光谱成像相机，为科研院校提供更优的产品和服务。在《低空背景下无人机目标的光谱特征研究及目标检测应用》这篇论文中提到中达瑞和 LCTF 作为多…...

编程新知 2025/6/15 11:47:07

aardio 自动识别验证码输入

技术尝试上周在发学习日志时有网友提议“在网页上识别验证码”，于是尝试整合图像识别与网页自动化技术，完成了这套模拟登录流程。核心思路是：截图验证码→OCR识别→自动填充表单→提交并验证结果。代码在这里 import soImage; import we…...

编程新知 2025/7/6 5:24:04

前端调试HTTP状态码

1xx（信息类状态码） 这类状态码表示临时响应，需要客户端继续处理请求。 100 Continue 服务器已收到请求的初始部分，客户端应继续发送剩余部分。 2xx（成功类状态码） 表示请求已成功被服务器接收、理解并处…...

编程新知 2025/7/5 3:40:40

求img参数

php代码审计

1. 错误报告和字符编码设置

2. 获取用户输入并进行重定向

3. 处理图片文件路径

4. 处理命令执行（preg_match绕过，MD5强绕过）

5. HTML 部分

思路

求cmd参数

哈希碰撞

MD5 弱碰撞

MD5 强碰撞

方法

相关文章：