过程
打开题目，是一道PHP的代码审计。代码如下：
<?php
highlight_file(__FILE__);
include "./flag.php";
include "./result.php";
if(isset($_GET['aaa']) && strlen($_GET['aaa']) < 20){$aaa = preg_replace('/^(.*)level(.*)$/', '${1}<!-- filtered -->${2}', $_GET['aaa']);if(preg_match('/pass_the_level_1#/', $aaa)){echo "here is level 2";if (isset($_POST['admin']) and isset($_POST['root_pwd'])) {if ($_POST['admin'] == $_POST['root_pwd'])echo '<p>The level 2 can not pass!</p>';// START FORM PROCESSING else if (sha1($_POST['admin']) === sha1($_POST['root_pwd'])){echo "here is level 3,do you kown how to overcome it?";if (isset($_POST['level_3'])) {$level_3 = json_decode($_POST['level_3']);if ($level_3->result == $result) {echo "success:".$flag;}else {echo "you never beat me!";}}else{echo "out";}}else{die("no");}// perform validations on the form data}else{echo '<p>out!</p>';}}else{echo 'nonono!';}echo '<hr>';
}?>
分析代码，需要过三关，才能拿到flag。
- 需要传入一个参数，对其进行正则替换掉
/^(.*)level(.*)$/得到$aaa，再对$aaa正则匹配，需匹配到pass_the_level_1#； - 需要保证
$_POST['admin'] == $_POST['root_pwd']，且要通过判断sha1($_POST['admin']) === sha1($_POST['root_pwd']) - 需要传入一个
level_3参数，经过json_decode()之后与内置的$result变量弱类型比较相等（==）
bypass：
- 正则匹配单行模式
(?s)下 ，.号将匹配所有字符，包括换行符；但默认情况下点号不匹配换行符，因此给了绕过(.*)的可能。payload：%0apass_the_level_1%23，%0a、%23分别是换行符、井号的URL编码。 - 利用哈希函数无法处理数组，会返回结果null，传入两个数组参数令其不一致绕过
$_POST['admin'] == $_POST['root_pwd']，再sha1($_POST['admin']) === sha1($_POST['root_pwd'])时，null===null从而绕过。 - 利用json_decode()的缺陷与php弱类型比较，“json_decode()函数用于对json格式数据进行json解码操作，对于一个json类型的字符串，会解密成一个数组；存在一个0=="efeaf"的Bypass缺陷”，如下：
<?php
$key = "JsonTest";
if (isset($_GET['data'])) {$data = json_decode($_GET['data']);if ($data->key == $key) {echo "Bypass json_decode()!";} else {echo "No...";}
}
?>
因此最终payload：
acquisition
- 正则匹配默认不匹配换行来bypass
. - 哈希函数处理数组时为null
- php弱类型比较中json_decode()函数的缺陷
reference
https://johnfrod.top/ctf/2021-%E9%B9%A4%E5%9F%8E%E6%9D%AF/
https://www.mi1k7ea.com/2019/06/21/PHP%E5%BC%B1%E7%B1%BB%E5%9E%8B%E5%B0%8F%E7%BB%93/#0x09-json-decode
