NewStarCTF 2023 web挑战解析：HTTP与PHP技巧

"NewStarCTF 2023 第一阶段公开赛道的解题WriteUp，涵盖Web安全领域的多个知识点，包括Flask应用中的信息泄露、HTTP请求方式与头信息的利用，以及PHP的弱类型比较、加密函数数组绕过和函数特性利用等。" 在NewStarCTF 2023的第一阶段中，参赛者面临了一系列基于Web的安全挑战。以下是各题目的详细解析： 1. **ErrorFlask** - 这个题目重点考察了Flask框架的报错信息泄露。当用户输入的数据导致程序异常时，Flask通常会显示错误页面，这些页面可能包含敏感信息。在这里，通过向系统输入数组，可以触发错误并揭示动态FLAG。 2. **HTTP** - 此题涉及HTTP协议的基础，包括GET和POST请求方式以及常见的请求头。首先，系统要求使用GET方法传递参数，然后改为POST方法并提供一个固定值的`secret`参数。通过查看源代码获取base64编码的`secret`值，解码后在HackBar中发送请求。接下来，修改BurpSuite中的Cookie值，将`power`设置为`ctfer`，最后分别修改User-Agent（U-A）为`NewStarCTF2023`，Referer为`newstarctf.com`，并添加`X-Real-IP`头为`127.0.0.1`，完成所有要求后获取FLAG。 3. **PHP** - PHP相关题目包括了弱类型比较、哈希函数特性和函数行为的利用。在第一关，利用了PHP中MD5函数对0e开头字符串的弱类型比较，可以通过构造两个看起来不同的字符串但其MD5值以0e开头来过关。第二关，利用了PHP的哈希函数（如MD5和SHA1）对数组参数返回NULL的特性，构造条件`NULL===NULL`来通过。第三关，借助`strcmp`函数对数组参数返回NULL的行为，构造`NULL==0`的逻辑。第四关，利用`is_numeric`函数的特性，只需在数字后附加任意字母即可使其通过数值判断。 这些题目旨在提升参赛者在Web安全方面的技能，包括信息泄露检测、HTTP交互理解和PHP代码安全审计。通过对这些知识的掌握，网络安全专业人员可以更好地识别和防止现实世界中的安全威胁。