CTF---Web入门第九题 FALSE

FALSE分值：10

来源： iFurySt
难度：易
参与人数：4567人
Get Flag：2144人
答题人数：2157人
解题通过率：99%

PHP代码审计

hint：sha1函数你有认真了解过吗？听说也有人用md5碰撞o(╯□╰)o

格式：CTF{}

解题链接： http://ctf5.shiyanbar.com/web/false.php

原题链接：http://www.shiyanbar.com/ctf/1787

【解题报告】

　　这是我入门Web开始写的第九道题，打开解题链接，这道题是道SHA！先做个简介：

Hash函数

SHA由NIST和NSA在1993年提出，修订版于1995年发布，称作SHA-1，它作为美国DSA数字签名方案的标准

FIPS 180-1 1995，Internet RFC3174，注意，算法是SHA，标准称为SHS，产生160-bit hash值

现在作为建议的hash算法，基于MD4的设计

题目意思是要传进两个值，这两个值不相等，然后它们的hash值又要相等，这是一个很矛盾的事情，hash碰撞是不可能的，不存在两个不同的值，然后它们的hash值还会相等，这该怎么办呢？这道题用到的是SHA函数的一个漏洞！

SHA函数默认传值的类型为字符串型，我们可以让它不传字符串型，传递其它类型，比如我们可以传入一个数组，这样它就会返回一个false，两个false会相等，通过这个方式可以绕过条件，样式如下：

http://ctf5.shiyanbar.com/web/false.php?name[]=a&password[]=b

然后我们回车去访问这个网站试试

直接就得到一个Flag，这就是本题的Key

CTF---Web入门第九题 FALSE相关推荐

CTF Web入门命令执行笔记
CTF Web入门命令执行 eval(读取命令),但各种字符被ban if(!pregmatch("...",$c)) #指过滤了...eval($c); 这时候可以尝试 ?c= ...
CTF·WEB入门之路
Hello~大家好,这里是KOKO师傅! 对于初学者来说,打CTF之路仿佛是摸石头过河,而今天这篇文章则是一篇"从入门到入土"级别的概括类文章.从这篇文章中你可以了解到CTF的一些 ...
南邮 ctf web之综合题
综合题点击进入到题中,发现是jsfuck(http://www.jsfuck.com/) 那就直接把代码放到控制台运行一下,看结果那就直接构造链接: http://teamxlc.sinaapp. ...
CTF — web入门(持续更新…)
WEB简介 web俗称web安全,当大家打开浏览器那一刻.就开始和web打交道了,web安全是网络中最经典的应用之一. WEB常见术语 web前端 Web前端开发工程师,主要职责是利用(X)HTML/ ...
蓝桥杯web：第九题【算法题】小兔子爬楼梯
小兔子想去月球上旅行,假设小兔子拥有一个 n 阶梯子,当你爬完 n 层就可以到达月球,小兔子每次可以跳 1 或者 2 个台阶,小兔子有多少种跳法可以到达月球呢? 给定 n 是一个正整数,代表梯子的阶数 ...
20220130---CTF WEB方向刷题WP-----网页初始index.php/robots.txt
练习靶场-攻防世界更多CTF靶场整理见 https://blog.csdn.net/qq_51550750/article/details/122748075 CTF WEB方向刷题WP-攻防世界- ...
信息安全web入门——南邮ctf解题
南京邮电大学ctf--web 签到题查看源码鼠标右键查看源码或ctrl+u md5 collision 题目给出源码 <?php $md51 = md5('QNKCDZO'); $a = @ ...
猿人学web端爬虫攻防大赛赛题解析_第九题：js混淆-动态cookie2
js混淆,动态cookie2 一.前言二.加密逻辑初探三.加密逻辑深入分析四.代码实现 4.1.ast解混淆的一个坑 4.2.完整实现过程五.参考文献一.前言一转眼又有快两个星期没更博客了 ...
CTFShow web入门题刷题记录
CTFShow web入门题刷题记录(信息搜集) web1 提示:开发注释未及时删除打开网页查看源代码发现 flag:flag{2b2cf8e3-f880-41e1-a8ff-02601b3d998 ...

CTF---Web入门第九题 FALSE

FALSE分值：10

CTF---Web入门第九题 FALSE相关推荐

最新文章

热门文章