CTF Web安全：PHP弱类型与MD5哈希漏洞实战解析

1. 题目场景与核心挑战解析拿到这道题很多刚接触CTF Web安全的朋友可能会有点懵。题目叫“Easy MD5”听起来像是要考MD5算法的漏洞比如碰撞或者SQL注入。但实际打开题目链接往往是一个极其简洁的页面可能只有一个输入框或者干脆就是一段PHP代码的审计题。这种“名不副实”正是CTF比赛的常态它考验的是你能否跳出思维定式将知识点进行关联和迁移。这道题的核心通常围绕PHP中一个非常经典且容易被忽视的特性展开MD5/SHA1等哈希函数的“弱类型比较”漏洞。在PHP里松散比较和严格比较的行为天差地别。当使用比较一个字符串和一个数字或者比较两个以0e开头的科学计数法字符串时PHP会尝试将它们转换为数字再进行比对。而0e开头的字符串在转换为数字时会被视为“0乘以10的n次方”结果就是0。举个例子字符串0e123456和0e987654在比较下是相等的因为PHP将它们都转换为数字0。但它们的MD5值完全不同。所以题目的“Easy”可能是一种反讽它指代的是一种看似简单、实则需要对PHP语言特性有深刻理解的漏洞利用方式。你的目标就是找到或构造这样一组数据绕过服务器的验证逻辑最终获取到Flag。2. 典型解题环境与信息收集在实际的BUUCTF平台或类似CTF环境中这道题可能以几种形式出现。最常见的是给你一个包含PHP源码的网页你需要通过查看网页源代码、使用开发者工具F12的Network或Sources面板或者直接访问/index.php?source1这类常见的源码泄露路径来获取后端逻辑。假设我们通过信息收集拿到了类似下面这样的后端PHP代码片段?php error_reporting(0); include “flag.php”; highlight_file(__FILE__); if (isset($_GET[‘a’]) isset($_GET[‘b’])) { $a $_GET[‘a’]; $b $_GET[‘b’]; if ($a ! $b md5($a) md5($b)) { echo “Wow, you passed level 1!br”; if (isset($_POST[‘c’]) isset($_POST[‘d’])) { $c $_POST[‘c’]; $d $_POST[‘d’]; if ($c ! $d md5($c) md5($d)) { echo “Congratulations! Here is your flag: “ . $flag; } else { echo “Sorry, level 2 failed.”; } } else { echo “Please provide c and d via POST.”; } } else { echo “Sorry, level 1 failed.”; } } else { echo “Please provide a and b via GET.”; } ?这段代码清晰地展示了一个两阶段的挑战。第一阶段使用比较第二阶段使用了比较。这几乎是这类题目的标准模板。我们的任务就是分步攻克它们。首先我们需要理解每一关到底在考验什么。第一关的md5($a) md5($b)就是典型的弱类型比较漏洞利用点。而第二关的md5($c) md5($d)则要求真正的MD5值相等这通常需要通过MD5碰撞或者利用PHP的另一个特性——数组绕过来实现。3. 第一关突破利用弱类型比较第一关的条件是$a ! $b且md5($a) md5($b)。这里的关键在于。我们需要找到两个不同的字符串它们的MD5值都以0e开头且后面全是数字。为什么是0e开头因为PHP在将字符串转换为数字时会识别科学计数法。0e123456会被计算为 0 × 10^123456 0。如果两个MD5哈希值都是这种形式那么它们在比较时都会被转换为数字0从而满足0 0的条件判断为相等。经过前辈们的收集和整理有一些已知的字符串符合这个特征。我们不需要自己去碰撞直接使用这些“魔术字符串”即可。以下是一些经典的例子字符串“240610708”其MD5值为0e462097431906509019562988736854字符串“QNKCDZO”其MD5值为0e830400451993494058024219903391字符串“s878926199a”其MD5值为0e545993274517709034328855841020字符串“s155964671a”其MD5值为0e342768416822451524974117254469你可以任选其中两个不同的字符串作为a和b的参数值。例如在浏览器地址栏中构造如下请求http://靶机地址/?a240610708bQNKCDZO提交后服务器会计算md5(“240610708”)0e462097431906509019562988736854md5(“QNKCDZO”)0e830400451993494058024219903391在比较下两者都被转为数字00 0成立。同时“240610708” ! “QNKCDZO”也成立。于是第一关顺利通过你会看到“Wow, you passed level 1!”的提示。这一步相对简单是这道题送分的基础部分旨在让你理解PHP弱类型比较的概念。注意这些魔术字符串的MD5值必须是纯0e数字的形式。有些字符串的MD5值可能以0e开头但后面跟了字母如c这在转换为数字时会被截断可能无法得到0导致比较失败。所以最好使用上面列举的、经过验证的字符串。4. 第二关攻克应对严格比较与数组技巧通过第一关后题目提示我们需要通过POST方法提交参数c和d。第二关的条件更加苛刻$c ! $d且md5($c) md5($d)。这里的是严格比较它要求两个值的类型和内容完全一致。这意味着我们不能再用0e科学计数法这种取巧的方式了因为字符串“0e123”和“0e456”在内容上完全不同。那么如何让两个不同的输入产生完全相同的MD5值呢这里有两条主流思路思路一寻找真正的MD5碰撞MD5算法虽然已经不安全存在碰撞漏洞但要手动找到两个能产生相同MD5值的、有意义的字符串是极其困难的需要巨大的计算量。在CTF比赛中这通常不是预期解。出题人不会期望选手现场进行哈希碰撞。思路二利用PHP中MD5函数处理数组时的特性这才是本题以及许多类似题目的预期解和核心考点。在PHP中md5()、sha1()等哈希函数如果传入的参数是一个数组函数会返回NULL并产生一个警告Warning。但更重要的是当两个数组分别传入md5()函数时它们都会返回NULL。让我们看看这个逻辑如果$c是一个数组md5($c)返回NULL。如果$d是另一个数组md5($d)也返回NULL。那么md5($c) md5($d)就变成了NULL NULL这个比较结果是true。同时只要$c和$d不是完全相同的数组例如数组内容不同条件$c ! $d也很容易满足。因此我们可以通过传递数组来绕过第二关的严格比较。具体操作上我们不能直接在浏览器的地址栏或表单的input框里输入数组。我们需要借助一些工具来发送包含数组数据的POST请求。最常用的工具是Burp Suite或者直接使用Python 的 requests 库、curl 命令。使用Burp Suite抓包改包浏览器打开题目页面并通过第一关。打开Burp Suite配置好代理并开启拦截Intercept is on。在通过第一关后的页面上随便输入c和d的值然后提交。此时Burp会拦截到这个POST请求。在Burp的拦截界面找到POST数据部分通常格式是ctestd123。将其修改为数组形式c[]1d[]2。这里的c[]表示参数c是一个数组其第一个元素为1。同理d[]。点击“Forward”发送修改后的请求。使用Python requests库import requests url “http://靶机地址/“ # 替换为实际地址 # 首先通过第一关 get_params {‘a’: ‘240610708’, ‘b’: ‘QNKCDZO’} r requests.get(url, paramsget_params) print(r.text) # 确认第一关通过 # 然后构造POST请求传递数组 post_data {‘c[]’: ‘value1’, ‘d[]’: ‘value2’} r2 requests.post(url, datapost_data) print(r2.text) # 输出响应应该包含flag使用curl命令# 先通过GET请求过第一关 curl “http://靶机地址/?a240610708bQNKCDZO” # 再通过POST发送数组数据 curl -X POST “http://靶机地址/“ -d “c[]1d[]2”当服务器收到c[]1d[]2这样的数据时$_POST[‘c’]和$_POST[‘d’]在PHP中就会被解析为数组Array( [0] 1 )和Array( [0] 2 )。它们不相等但它们的MD5值都是NULL从而完美绕过的严格检查。5. 完整解题流程与工具实战演练让我们串联起整个解题过程假设靶机地址是http://123.456.789.101:8000/。步骤1信息收集与代码审计访问目标地址。查看网页源代码没发现线索。尝试访问http://123.456.789.101:8000/index.php?source1成功获取到第2节中展示的PHP源代码。确认了题目是两段式MD5验证。步骤2突破第一关GET请求根据代码我们需要通过URL的GET参数传递a和b。直接在浏览器地址栏输入http://123.456.789.101:8000/?a240610708bQNKCDZO回车后页面显示“Wow, you passed level 1! Please provide c and d via POST.”。第一关通过。步骤3突破第二关POST请求现在需要在同一个页面下用POST方法提交c和d。浏览器表单不方便直接提交数组我们使用HackBar浏览器插件或Burp Suite。使用HackBar插件以Firefox为例按F12打开开发者工具找到HackBar标签页。在URL框输入当前地址http://123.456.789.101:8000/?a240610708bQNKCDZO注意GET参数要带上以维持第一关通过的状态。在Post data框输入c[]1d[]2。选择请求方法为POST点击Execute执行。查看下方返回的结果应该就能看到包含Flag的字符串。使用Burp Suite确保Burp代理开启浏览器代理设置正确。在浏览器中访问http://123.456.789.101:8000/?a240610708bQNKCDZO此时页面提示等待POST输入。在页面表单里随便输入c1, d2并提交目的是让Burp捕获到这个POST请求。在Burp的Proxy - Intercept标签页你会看到拦截到的请求。将请求体Body从c1d2修改为c[]1d[]2。点击Forward发送。在Burp的HTTP history或Target - Site map中找到这个请求的响应查看Response即可获得Flag。步骤4获取Flag无论用哪种方法成功的响应页面会显示类似“Congratulations! Here is your flag: flag{th1s_1s_an_3asy_md5_ch4ll3ng3}”的内容。这就是本题的最终答案提交即可得分。6. 漏洞原理深度剖析与防御思考这道题虽然“Easy”但背后涉及的知识点却非常深刻是PHP安全中类型相关漏洞的典范。1. 弱类型比较的隐患PHP的松散比较在设计上是为了方便但带来了巨大的安全风险。除了0e科学计数法字符串相等还有更多诡异的比较结果例如“123abc” 123为 true字符串被转为数字123。“abc” 0为 true非数字开头的字符串被转为0。false “0”为 true。null ““为 true。在安全编码中必须杜绝使用来比较用户输入尤其是涉及哈希值、身份验证令牌等敏感数据时。一律使用进行严格比较。2. 哈希函数处理非字符串输入md5()、sha1()等函数期望接收字符串参数。当传入数组或对象时它们的行为是返回NULL并报一个Warning。这个特性本身不是漏洞但结合程序逻辑如上述的比较就成了一个可利用的“特性”。这提醒开发者在处理用户输入、尤其是将其传入敏感函数前必须进行严格的类型检查。使用is_string()函数进行判断是一个好习惯。3. 防御方案输入验证与过滤使用filter_var()函数或类型转换(string)确保传入哈希函数的是字符串。使用严格比较在所有安全相关的逻辑判断中使用和!。错误报告在生产环境中应设置error_reporting(0)或合理配置避免Warning信息泄露给用户但开发阶段应开启所有错误提示以便排查此类问题。使用更安全的比较函数例如hash_equals()函数用于比较哈希字符串它可以防止时序攻击并且对参数类型有严格要求。// 安全的写法示例 if (isset($_GET[‘a’]) isset($_GET[‘b’])) { $a (string)$_GET[‘a’]; // 强制类型转换 $b (string)$_GET[‘b’]; if (is_string($a) is_string($b) $a ! $b md5($a) md5($b)) { // 安全逻辑 } } // 或者使用hash_equals (需要两个参数都是字符串) if (isset($_POST[‘c’]) isset($_POST[‘d’]) is_string($_POST[‘c’]) is_string($_POST[‘d’])) { if ($_POST[‘c’] ! $_POST[‘d’] hash_equals(md5($_POST[‘c’]), md5($_POST[‘d’]))) { // 安全逻辑 } }7. 举一反三相关CTF题型与扩展掌握了[BJDCTF2020]Easy MD5的原理后你可以轻松解决一大批变种题目SHA1弱类型比较将md5()换成sha1()原理完全一样。寻找SHA1值为0e开头的字符串例如“aaK1STfY”的SHA1是0e76658526655756207688271159624026011393“aaO8zKZF”的SHA1是0e89257456677279068558073954252716165668。双重MD5绕过题目条件可能是md5(md5($a)) md5(md5($b))。你需要找到两个字符串它们经过两次MD5哈希后结果都以0e开头。这需要重新寻找或碰撞这样的字符串但思路不变。JSON或序列化中的比较题目可能将用户输入进行json_decode或unserialize后再进行比较。这时你可能需要构造特殊的JSON数字0或布尔值false来绕过。与SQL注入结合有时题目会把你传入的、用于绕过MD5比较的字符串直接拼接到SQL语句中。例如SELECT * FROM users WHERE username‘$a’ AND password‘md5($b)’。如果你传入的a是240610708‘ OR ‘1’‘1在绕过MD5检查的同时还可能引发SQL注入。这就需要联合利用多种漏洞。变量覆盖与MD5结合extract()、parse_str()等函数造成的变量覆盖漏洞你可能需要同时控制多个变量来满足复杂的比较条件。解决这些题目的通用步骤是审计源码 - 理解比较逻辑还是 - 确定利用点科学计数法、数组、其他类型转换 - 构造Payload - 利用工具发送请求。这道“Easy MD5”就像一把钥匙为你打开了PHP类型安全这个庞大而重要的知识领域的大门。在实际的代码审计和渗透测试中对变量类型和比较操作的警惕是发现深层漏洞的关键。