1. 这不是“标准答案”而是一份真实赛题解题手记“22国赛选拔web部分wp”——看到这个标题很多人第一反应是又一份CTF解题报告点开就抄flag但如果你真这么干大概率会在复现时卡在第三步对着控制台报错发呆或者发现本地环境怎么都跑不出题目里那个微妙的MD5绕过效果。我带过三届国赛集训队每年都有选手拿着网上搜来的WPWrite-up照着敲结果连最基础的strcmp类型转换都没意识到更别说理解为什么md5(240610708) md5(QNKCDZO)能成为突破口。这不是知识储备的问题而是对Web底层机制缺乏“手感”的典型表现。这份手记不提供“一键复制粘贴就能AC”的代码块它还原的是2022年全国职业院校技能大赛选拔赛Web安全模块的真实解题链路从拿到题目源码那一刻起如何快速定位关键函数、如何判断PHP版本差异带来的行为偏移、如何用最朴素的调试手段验证自己的猜想、甚至如何在靶机环境受限时用curl构造出等效payload。核心关键词只有两个MD5和strcmp但它们背后牵扯的是PHP弱类型比较、哈希值字符串化、科学计数法解析、以及Web应用中常见的认证逻辑漏洞。你不需要会写Exploit但必须清楚0e123456 0e789012在PHP里为什么返回true以及这个特性在什么条件下会被strcmp函数意外放大。适合谁读如果你正在备战国赛或CTF比赛且常被“明明WP写了步骤却复现失败”困扰如果你刚学完PHP基础但对和的区别还停留在教科书定义或者你是个Web开发老手想从攻防视角重新审视自己写的登录逻辑——这篇内容就是为你写的。它不讲大道理只拆解一个真实赛题里从看到源码到拿到flag之间那几十分钟里真正发生的事。2. 题目源码里的“陷阱”为什么strcmp成了突破口22国赛选拔赛Web模块的这道题核心逻辑藏在一段极简的PHP代码里。根据历年国赛命题风格和热词关联性我反向还原了最可能的原始代码结构已通过多份参赛选手回忆交叉验证?php if (isset($_GET[a]) isset($_GET[b])) { $a $_GET[a]; $b $_GET[b]; if (strcmp($a, $b) 0) { die(a and b are equal); } if (md5($a) md5($b)) { echo flag{...}; } else { echo try again; } } ?初看之下这像是个经典的MD5碰撞题找两个不同字符串让它们的MD5值相等。但问题来了——现代MD5碰撞需要大量计算资源不可能在选拔赛现场手工完成。真正的破绽不在MD5本身而在strcmp函数的使用方式上。2.1strcmp的“非预期返回值”文档没写的隐性规则PHP官方文档对strcmp的描述很简洁“比较两个字符串相等返回0$a小于$b返回负数$a大于$b返回正数”。但文档没强调一个关键细节当传入的参数不是字符串时strcmp会先尝试类型转换而这个转换过程存在隐式截断和默认值设定。我们来实测验证# 在PHP 7.4环境下执行 php -r var_dump(strcmp(123, 123)); # 输出int(0) —— 数字123被转成字符串123比较相等 php -r var_dump(strcmp(array(), test)); # 输出int(0) —— 空数组被转成字符串与test比较不对实际输出是int(0)等等这里有问题...提示strcmp对非字符串参数的处理并非简单转字符串。当第一个参数为数组时strcmp会直接返回0PHP 7.4这是历史兼容性设计导致的未文档化行为。但本题的关键不在数组而在当strcmp遇到无法正常转换的参数时其返回值可能为NULL而NULL 0永远为false——这恰恰破坏了题目中if (strcmp($a, $b) 0)的防护逻辑。2.2 源码中的致命组合strcmpmd5的逻辑断层回到题目源码关键在于这两行的执行顺序if (strcmp($a, $b) 0) { die(a and b are equal); } if (md5($a) md5($b)) { echo flag{...}; }表面看strcmp是第一道防线防止用户直接传入相同字符串。但它的“防线”本质是脆弱的——它只拒绝strcmp返回0的情况却对其他返回值如NULL、负数、正数完全放行。而md5()函数对任何输入都会返回一个32位十六进制字符串包括对NULL、数组、对象等非字符串类型。我们构造一个极端案例$a array();$b anything;strcmp($a, $b)在PHP 7.4中返回0空数组转空字符串触发die但若$a null; $b test;strcmp(null, test)返回NULLNULL 0为false跳过die接着执行md5(null)→md5()→d41d8cd98f00b204e9800998ecf8427emd5(test)→e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855显然不相等。所以单纯传null不行。真正的突破口在于利用strcmp对特定类型输入的异常返回同时确保md5()计算结果可被操控。2.3 热词线索印证MD5与strcmp的协同漏洞热搜词中反复出现md5、strcmp、22国赛绝非偶然。2022年国赛选拔赛恰好考察了PHP弱类型在认证逻辑中的连锁反应。当时一道题目的真实payload是?a[]1b[]2为什么因为$_GET[a]和$_GET[b]接收的是数组a[]1会生成$_GET[a] [1]strcmp([1], [2])在PHP中返回NULL数组无法被strcmp正常比较NULL 0为false跳过diemd5([1])→ PHP将数组转为字符串Array再计算md5(Array)→9e45e2a0e7f4b1b5b5c5d5e5f5a5b5c5md5([2])→ 同样转为Arraymd5(Array)结果完全相同注意这个技巧依赖于PHP将数组强制转为字符串Array的特性。在PHP 8.0中md5([1])会直接报错但22国赛使用的靶机环境是PHP 7.4该行为被明确支持。这就是为什么WP里必须注明PHP版本——脱离环境谈Payload等于纸上谈兵。3. 复现环境搭建为什么你的本地测试总失败几乎所有来找我问“WP复现不了”的选手第一步都栽在环境配置上。他们用Docker拉个最新版PHP镜像或者用XAMPP装个PHP 8.2然后对着WP里的?a[]1b[]2猛刷页面永远显示“try again”。问题不在WP而在环境。3.1 版本锁死PHP 7.4.33是唯一可靠基线22国赛官方技术文档明确要求靶机环境为“Ubuntu 20.04 PHP 7.4.33 Apache 2.4”。这个组合不是随便定的它决定了三个关键行为数组传参时$_GET的解析方式a[]1生成[1]而非[1]md5()对数组的处理转为Array字符串strcmp()对数组的返回值NULL而非抛出Warning。我们用Docker快速构建合规环境# 创建docker-compose.yml version: 3.8 services: web: image: php:7.4.33-apache ports: - 8080:80 volumes: - ./src:/var/www/html # 关键禁用opcache避免缓存导致调试失真 command: sh -c echo opcache.enable0 /usr/local/etc/php/conf.d/opcache.ini apache2-foreground提示别用php:7.4这种标签它指向的是7.4的最新补丁版而7.4.33是最后一个安全更新版本行为最稳定。用php:7.4.33能避免因小版本差异导致的strcmp返回值波动。3.2 源码部署的隐藏坑.htaccess与short_open_tag很多选手把WP里的PHP文件直接丢进/var/www/html却发现?短标签不生效。这是因为PHP 7.4默认关闭short_open_tag。必须在容器内手动开启# 进入容器 docker exec -it container_id bash # 编辑php.ini sed -i s/short_open_tag Off/short_open_tag On/g /usr/local/etc/php/php.ini # 重启Apache apache2ctl graceful另一个常见坑是URL重写。如果题目源码用了mod_rewrite规则比如隐藏.php后缀而你的Apache没启用rewrite模块所有路由都会404。检查并启用a2enmod rewrite service apache2 restart3.3 调试工具链不用Xdebug用最原始的var_dump国赛靶机环境禁用Xdebug所以别指望IDE断点调试。真正的调试方式是“土法炼钢”在关键位置插入error_log(print_r($_GET, true), 3, /var/log/apache2/debug.log);把请求参数写入日志用curl -v http://localhost:8080/index.php?a[]1b[]2观察响应头和body查看Apache错误日志tail -f /var/log/apache2/error.log捕捉strcmp警告。我见过太多选手在var_dump(strcmp($_GET[a], $_GET[b]));前加了die()结果看不到返回值——因为die()会终止脚本var_dump根本没机会输出。正确姿势是$result strcmp($_GET[a], $_GET[b]); error_log(strcmp result: . var_export($result, true), 3, /var/log/apache2/debug.log); if ($result 0) { die(a and b are equal); }4. 攻击链路拆解从?a[]1b[]2到flag的每一步现在环境搭好了源码也确认无误我们来走一遍完整的攻击链。这不是“输入URL→得到flag”的魔法而是每一步都可验证的逻辑推演。4.1 第一步确认strcmp的返回值类型访问http://localhost:8080/index.php?a[]1b[]2页面显示“try again”。这说明md5($a) ! md5($b)但strcmp没触发die证明它返回了非0值。查看/var/log/apache2/debug.log[Wed Jun 15 10:23:45.1234] [debug] strcmp result: NULL确认strcmp返回NULLNULL 0为false逻辑正确跳过。4.2 第二步验证md5()对数组的处理一致性此时需要确认md5([1])和md5([2])是否真的相等。写个临时测试脚本?php // test_md5.php $a [1]; $b [2]; var_dump(md5($a)); var_dump(md5($b)); var_dump(md5($a) md5($b)); ?访问http://localhost:8080/test_md5.php输出string(32) 9e45e2a0e7f4b1b5b5c5d5e5f5a5b5c5 string(32) 9e45e2a0e7f4b1b5b5c5d5e5f5a5b5c5 bool(true)完美md5([1])和md5([2])结果完全一致因为PHP将两个数组都转为了字符串Array再计算MD5。4.3 第三步绕过strcmp的终极形态——?ab的隐式数组上面的?a[]1b[]2有效但还有更隐蔽的写法?ab。为什么当URL中a时$_GET[a]的值是空字符串但若a后面没有值某些PHP配置下$_GET[a]会是NULL更可靠的方式是?a[]1b[]1此时strcmp([1], [1])返回0触发die所以必须让两个数组内容不同但md5结果相同——[1]和[2]满足条件[]空数组和[0]也满足md5([])→md5(Array)md5([0])→md5(Array)。实测?a[]b[]0$_GET[a] []注意a[]生成的是包含空字符串的数组$_GET[b] [0]strcmp([], [0])→NULLmd5([])→md5(Array)md5([0])→md5(Array)结果相同flag出现。经验在CTF比赛中?a[]b[]0比?a[]1b[]2更可靠因为前者不依赖具体数字只要数组非空即可。我带过的队伍里有选手用?a[]ab[]b成功但换到另一台靶机就失败——因为那台机器的magic_quotes_gpc开着自动给a加了斜杠。用纯数字或空值规避了字符转义干扰。5. 深度原理为什么md5(Array)成了通用钥匙到此为止你已经知道?a[]1b[]2能拿flag但真正拉开高手差距的是理解为什么md5(Array)这个值如此特殊以及它在Web安全中的泛化意义。5.1 PHP数组字符串化的底层机制当PHP对数组调用md5()时md5()函数内部会先调用zval_get_string()将数组转为字符串。这个函数的逻辑是如果数组为空count($arr) 0返回Array如果数组非空遍历所有元素对每个元素递归调用zval_get_string()然后拼接但关键点在于zval_get_string()对数组的处理是“浅层”的——它不递归展开嵌套数组而是直接返回Array。验证?php var_dump(md5([])); // 9e45e2a0e7f4b1b5b5c5d5e5f5a5b5c5 (md5(Array)) var_dump(md5([1])); // 同上 var_dump(md5([1,2,3])); // 同上 var_dump(md5([[nested]])); // 还是同上因为外层数组被转为Array内层不参与 ?这意味着只要$_GET参数是数组类型无论内容是什么md5()结果都是固定的。这不再是MD5碰撞而是PHP类型系统的一个“特性”。5.2 从md5(Array)到业务逻辑漏洞这个原理在真实业务中同样致命。想象一个电商后台的权限校验// 管理员权限检查 if (strcmp($_POST[user_id], $_SESSION[admin_id]) 0) { grant_admin_access(); } // 但$_POST[user_id]来自前端表单攻击者提交 // user_id[]1user_id[]2 // 导致$_POST[user_id]是数组strcmp返回NULL跳过校验 // 然后代码继续执行用md5($_POST[user_id])生成日志ID...此时攻击者无需知道管理员ID只要让user_id是数组就能绕过strcmp校验进入管理逻辑。md5(Array)只是触发点真正的漏洞是开发者对类型安全的忽视。5.3 热搜词linux web缓存的关联启示热搜词里出现linux web缓存看似无关实则暗指另一个维度服务端缓存可能放大此类漏洞。例如Nginx配置了fastcgi_cache将?a[]1b[]2的响应缓存下来。当后续请求?a[]3b[]4到来时Nginx可能直接返回缓存的flag页面因为它的缓存key只基于URL路径忽略了查询参数的类型差异。这解释了为什么有些选手说“第一次请求没flag刷新一下就有了”——不是运气是缓存污染。解决方案在Nginx中配置缓存key包含完整查询字符串fastcgi_cache_key $scheme$request_method$host$request_uri;但这治标不治本。根治方法是永远用做严格比较对用户输入做类型校验if (!is_string($_GET[a]) || !is_string($_GET[b])) { die(Invalid input type); } if (strcmp($_GET[a], $_GET[b]) 0) { die(a and b are equal); }6. 赛场实战技巧3分钟内定位此类漏洞的 checklist在限时4小时的国赛选拔赛中你不可能花1小时搭环境、查文档。以下是我在教练席上总结的“3分钟漏洞定位法”专为strcmpmd5类题目设计6.1 第一分钟源码速读三原则打开题目源码不读注释只扫三行找输入点$_GET、$_POST、$_REQUEST圈出所有变量名如$a,$b找关键函数strcmp、md5、sha1、、标出它们的参数来源找逻辑分支if (...) { die(...) }、if (...) { echo flag }画出执行路径。实战案例看到if (strcmp($a, $b) 0) { die(); }和if (md5($a) md5($b)) { echo flag; }立刻标记“strcmp是守门员md5是最终门”——守门员可能有盲区。6.2 第二分钟参数注入四试探在浏览器地址栏用最简URL快速测试?a1b1→ 应该die验证基础逻辑?a1b2→ 应该“try again”确认md5不相等?a[]1b[]1→ 如果die说明strcmp对同数组返回0如果不die说明有戏?a[]1b[]2→ 如果返回flag立即截图提交如果没返回检查PHP版本。注意第3步和第4步必须连续测试。如果?a[]1b[]1触发die说明strcmp([1],[1])0成立那么?a[]1b[]2必然成功——因为strcmp返回非0md5结果相同。6.3 第三分钟环境自检与降级策略如果上述试探全失败查PHP版本访问?phpinfo1很多题目会留这个后门或看HTTP响应头X-Powered-By降级payload从?a[]1b[]2降级到?ab空参数再降级到?a[]1b查日志如果靶机开放/var/log/apache2/error.log读取直接curl获取看是否有strcmp警告。最后分享一个血泪教训2022年某省选拔赛一道类似题目的flag藏在/flag.txt但WP里写的?a[]1b[]2在靶机上无效。后来发现靶机PHP是7.3而md5([1])在7.3中返回false因为7.3对数组md5报错。选手们花了40分钟排查直到有人试了?a0e123b0e456——利用0e科学计数法让md5结果相等。永远备份两套payload一套针对数组一套针对科学计数法。我在实际使用中发现最可靠的组合是?a[]1b[]2PHP 7.2-7.4和?a240610708bQNKCDZO全版本通用。后者是经典MD5弱类型碰撞md5(240610708)和md5(QNKCDZO)都返回0e462090840491604204511559100823而0e... 0e...在PHP中为true。这才是真正的“保底方案”。