攻防世界Web_favorite_number

题目：

 

 解题思路：

直接给php源码，代码审计。

这里需要通过POST方法传递参数stuff，且stuff是一组数组,给了一组数组array['admin','user']

if条件中，需要stuff完全等于数组['admin','user']但stuff[0]又不能等于admin，可以通过数组溢出绕过。

绕过后还要，传递一个数字num，这里可以通过%0a换行符进行绕过注入命令，又应为过滤了cat echo 等命令，发现 ls find 命令没过滤

可以通过ls 查找flag ,找到innode,并通过tac命令查看flag。

 

解题步骤：

1.PHP数组的key溢出问题参考资料

发现stuff[4294967296]等价于stuff[0]
所以POST stuff[4294967296]=admin&stuff[1]=user&num=123

 

 2.输出成功，现在进行num绕过

 

 通过%0a换行符成功执行了ls命令  

3.找到flag 及它的innode

 

 4.查看flag,因为过滤了cat等命令，通过tac命令查看绕过正则匹配。

 

 获得flag，注意tac命令 需要加``反双单号。