实验吧——WEB-FALSE

最新推荐文章于 2024-09-25 17:18:57 发布

原创最新推荐文章于 2024-09-25 17:18:57 发布 · 2.7k 阅读

0 ·

CC 4.0 BY-SA版权

CTF 同时被 2 个专栏收录

23 篇文章

订阅专栏

代码审计

5 篇文章

订阅专栏

本文探讨了WEB安全中的一种情况，其中name和password的特定条件导致安全漏洞。当name和password的SHA1加密散列值相等但二者本身不同时，存在潜在问题。SHA1函数对数组输入返回false，揭示了可能的利用点。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

FALSE

hint：sha1函数你有认真了解过吗？听说也有人用md5碰撞o(╯□╰)o

在这里插入图片描述
查看源码

<?php
if (isset($_GET['name']) and isset($_GET['password'])) {
    if ($_GET['name'] == $_GET['password'])
        echo '<p>Your password can not be your name!</p>';
    else if (sha1($_GET['name']) === sha1($_GET['password']))
      die('Flag: '.$flag);
    else
        echo '<p>Invalid password.</p>';
}
else{
 echo '<p>Login first!</p>';
?>