二十一、数字验证正则绕过 *

<?php
error_reporting(0);
$flag = 'flag{test}';
if  ("POST" == $_SERVER['REQUEST_METHOD']) 
{ 
    $password = $_POST['password']; 
    if (0 >= preg_match('/^[[:graph:]]{12,}$/', $password)) //preg_match — 执行一个正则表达式匹配
    { 
        echo 'Wrong Format'; 
        exit; 
    } 
    while (TRUE) 
    { 
        $reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/'; 
        if (6 > preg_match_all($reg, $password, $arr)) 
            break; 
        $c = 0; 
        $ps = array('punct', 'digit', 'upper', 'lower'); //[[:punct:]] 任何标点符号 [[:digit:]] 任何数字  [[:upper:]] 任何大写字母  [[:lower:]] 任何小写字母 
        foreach ($ps as $pt) 
        { 
            if (preg_match("/[[:$pt:]]+/", $password)) 
                $c += 1; 
        } 
        if ($c < 3) break; 
        //>=3，必须包含四种类型三种与三种以上
        if ("42" == $password) echo $flag; 
        else echo 'Wrong password'; 
        exit; 
    } 
}
?>

$reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/'; 
if (6 > preg_match_all($reg, $password, $arr)) 
意为匹配到的次数要大于6次

$ps = array('punct', 'digit', 'upper', 'lower'); //[[:punct:]] 任何标点符号 [[:digit:]] 任何数字  [[:upper:]] 任何大写字母  [[:lower:]] 任何小写字母 
foreach ($ps as $pt) 
{ 
    if (preg_match("/[[:$pt:]]+/", $password)) 
        $c += 1; 
} 
if ($c < 3) break; 
意为必须要有大小写字母，数字，字符内容三种与三种以上

if ("42" == $password) echo $flag; 
意为必须等于42

答案：

42.00e+00000000000 
或
420.000000000e-1

正则还不是很熟，先引用别人的解题思路。

二十二、弱类型整数大小比较绕过

<?php
error_reporting(0);
$flag = "flag{test}";
$temp = $_GET['password'];
is_numeric($temp)?die("no numeric"):NULL;    
if($temp>1336){
    echo $flag;
} 
?>

要求很简单，不能是数字且大于1336，只要使用PHP弱类型即可，php当一个其它类型的数据和数值类型的数据比较大小时，会先将其他类型的数据转换成数值类型，这里我们只要输入类似9999a的数据即可满足条件。

二十三、md5函数验证绕过

<?php
error_reporting(0);
$flag = 'flag{test}';
$temp = $_GET['password'];
if(md5($temp)==0){
    echo $flag;
}
?>

要求md5值加密后为0,据我所知有一下方法:

• 弱类型法 弱类型比较NULL == 0，可以输入空的password，加密后结果为null。也可以输入一个数组，php对数组进行hash运算后得到的结果为null
• 科学记数法法 前面的题目提到过 0exxx==0，只要找到一个md5加密后0e开头的数据就可以满足数值为0

二十四、md5函数true绕过注入

error_reporting(0);
$link = mysql_connect('localhost', 'root', 'root');
if (!$link) { 
  die('Could not connect to MySQL: ' . mysql_error()); 
} 
// 选择数据库
$db = mysql_select_db("security", $link);
if(!$db)
{
  echo 'select db error';
  exit();
}
// 执行sql
$password = $_GET['password'];
$sql = "SELECT * FROM users WHERE password = '".md5($password,true)."'";
var_dump($sql);
$result=mysql_query($sql) or die('<pre>' . mysql_error() . '</pre>' );
$row1 = mysql_fetch_row($result);
var_dump($row1);
mysql_close($link);
?>

这个是思路是真没见过，md5($password,true) 将md5后的hex转换成字符串，想要完成注入，不难看出我们需要一个可以转换成'or'xxx的md5值，难就难在找到符合条件的字符串，我这里就不写代码自己找了，直接顺手牵羊一个。

字符串：ffifdyop
md5后，276f722736c95d99e921722cf9ed621c

二十五、switch没有break 字符与0比较绕过

<?php
error_reporting(0);
if (isset($_GET['which']))
{
    $which = $_GET['which'];
    switch ($which)
    {
    case 0:
    case 1:
    case 2:
        require_once $which.'.php';
         echo $flag;
        break;
    default:
        echo GWF_HTML::error('PHP-0817', 'Hacker NoNoNo!', false);
        break;
    }
}
?>

这题要求包含flag.php

直接使用?which=flag就成功了，为什么呢？
问题就在于 'flag' == 0 结果为true和没有使用break，'flag' == 0是因为弱类型比较，此处不再做过多解释。因为'flag' == 0成立所以case 0 被执行，又因为没有使用break语句，所以case1和case2也被执行，所以直接输入?which=flag就可以执行成功。