1. 项目概述一次关于MD5的“简单”教训最近在复盘一些经典的CTF Web题目又看到了这道来自BJDCTF 2020的“Easy MD5”。题目名字起得挺有意思“Easy”这个词在CTF里往往意味着“陷阱”或者“思维的转折点”这道题也不例外。它表面上看起来是一个关于MD5哈希的简单查询但内核却串联了SQL注入、PHP弱类型比较以及MD5碰撞或者说特性利用等多个Web安全的核心知识点。很多刚入门Web安全的朋友包括当年的我都在这里栽过跟头——不是卡在第一步的注入就是倒在了最后一步的“科学比较”上。今天我就以一个“过来人”的身份把这题的完整解题思路、踩过的坑以及背后涉及的原理解析清楚希望能帮你不仅拿下这道题的Flag更能真正理解这些漏洞的成因和利用方式。简单来说这道题模拟了一个常见的场景一个使用MD5进行密码哈希校验的登录或查询接口。但开发者在使用MD5时犯下了一系列“经典”错误包括直接将用户输入拼接进SQL语句、使用了不安全的字符串比较方式等。我们的目标就是利用这些错误构造特殊的输入绕过所有检查最终获取到隐藏的Flag。整个过程就像在迷宫里找路每一步都需要对MD5和PHP的特性有精准的把握。2. 环境初探与信息收集2.1 题目入口与基础交互通常这类题目会提供一个简单的Web界面。对于“Easy MD5”我们遇到的第一个界面很可能是一个输入框提示你“输入密码”或者“查询”之类的。页面源代码View Source是我们的第一个突破口。注意在任何CTF Web题中F12打开开发者工具仔细查看HTML源码、JavaScript代码以及网络请求Network是标准操作流程。这里往往藏着提示、隐藏的接口或者前端校验逻辑。假设我们打开题目页面看到的是一个简单的表单提交后参数可能通过GET或POST方式传递给后端的一个PHP脚本处理。第一步我们尝试进行最基础的测试输入一些常见测试字符串如1、、等观察回显。更重要的是查看页面返回的HTTP响应头。有时关键的提示信息会藏在响应头的某个字段里比如Hint、X-Powered-By或者自定义的头部字段。这道题的一个经典提示就可能出现在响应头中直接或间接地提示你关注md5($pass, true)这个函数。2.2 核心代码逻辑推测与漏洞定位根据题目名和常见套路后端代码逻辑可能如下接收用户输入通过$_GET[‘password’]或$_POST[‘password’]获取用户提交的字符串。进行MD5计算使用PHP的md5()函数对输入进行计算。这里的关键在于md5()函数的第二个参数。md5($str, true)返回的是原始16字节二进制格式而md5($str, false)或默认情况返回的是32字符十六进制字符串。二进制格式在特定情况下可以被解释为字符串从而引入漏洞。构造SQL查询将计算得到的MD5值很可能是二进制形式直接拼接到SQL查询语句中。例如$sql “SELECT * FROM users WHERE password‘” . md5($input, true) . “‘”;执行查询与判断执行SQL语句并根据查询结果进行某种判断比如查询是否成功是否返回特定用户最终决定是否输出Flag或进入下一阶段。漏洞点就潜伏在上述步骤中步骤2和3的结合点SQL注入md5($input, true)的二进制结果中如果包含‘、or‘、‘‘等能被SQL解析器理解为代码的字节序列当它被直接拼接进SQL语句时就会改变原语句的逻辑实现注入。步骤4的判断逻辑PHP弱类型比较题目后续阶段可能会将用户输入的MD5十六进制字符串与一个预设值进行比较。如果使用了松散比较而非严格比较在PHP的弱类型机制下特定字符串如0e开头的数字字符串会被科学计数法解析导致比较结果出乎意料。我们的攻击路径就是沿着这两个漏洞点逐层深入。3. 第一阶段突破利用MD5二进制注入实现SQL注入3.1 理解md5($str, true)的风险这是本阶段的核心。PHP的md5()函数当第二个参数为true时返回的是原始16字节128位的二进制数据。当这个二进制数据被直接当作字符串拼接进SQL查询的引号内时问题就来了。我们需要寻找一个字符串其MD5值的原始二进制表示中包含能构成有效SQL注入片段的字符序列。最经典的就是让这个二进制序列中包含‘ or ‘这样的字符。因为SQL语句拼接后可能是SELECT * FROM table WHERE password‘[这里是16字节二进制数据]‘如果这16个字节中从某个位置开始连续是‘ or ‘的ASCII码那么SQL解析器看到的就会是SELECT * FROM table WHERE password‘...前面一些字节...‘ or ‘...后面一些字节...‘这就成功注入了一个or条件。由于or的逻辑只要前后任意一个条件为真整个WHERE子句就为真从而可能绕过密码检查。3.2 寻找“魔法字符串”我们需要一个已知的明文其MD5二进制结果包含‘or‘。这是一个典型的已知答案题目。经过安全社区的研究字符串ffifdyop的MD5值恰好满足这个条件。我们来验证一下计算md5(‘ffifdyop‘, true)。得到的16字节二进制数据用字符串形式表示是‘or‘6乱码。具体来说其十六进制表示为276f72275c...其中27是单引号‘的ASCII码6f 72是or紧接着又是一个27单引号。这样它就构成了‘or‘这个序列。所以当我们在输入框提交ffifdyop后端代码执行$input $_GET[‘password‘]; // 假设是GET方式 $hash md5($input, true); $sql “SELECT * FROM admin WHERE pass‘“ . $hash . “‘“; // 拼接后实际为SELECT * FROM admin WHERE pass‘‘or‘6乱码‘这条SQL语句的WHERE条件变成了pass‘‘or‘6乱码‘。由于pass‘‘是假但‘6乱码‘作为一个非空字符串在布尔上下文中为真所以假 or 真的结果为真。这使得查询条件恒成立很可能返回数据库中的第一条记录从而绕过认证。实操心得ffifdyop这个字符串需要死记硬背吗对于CTF选手来说是的它是一个“魔术字符串”就像SQL注入中的‘ or ‘1‘‘1一样经典。但在实际审计中你需要理解原理当代码将md5($input, true)的结果直接拼接进SQL时就存在二进制注入的风险。审计工具或手动测试时可以关注md5(..., true)的使用上下文。3.3 第一阶段Payload与结果因此第一阶段的Payload非常简单提交内容passwordffifdyop提交方式根据题目提示可能是GET也可能是POST。如果是一个表单通常用POST如果URL中有参数可能是GET。可以都尝试或者用Burp Suite拦截修改。提交后预期会跳转到一个新的页面或者本页面的内容发生变化提示你进入了“下一关”。这标志着我们成功利用了二进制MD5注入绕过了第一道SQL查询关卡。4. 第二阶段攻坚PHP弱类型与MD5碰撞4.1 新页面的逻辑分析成功绕过第一阶段后我们通常会看到一个新的页面或者页面源码中出现了新的表单和逻辑。常见的场景是页面显示了两段PHP代码要求你提交两个不同的参数比如a和b但它们的MD5值需要满足某种“相等”的条件。一段典型的代码如下$a $_GET[‘a‘]; $b $_GET[‘b‘]; if ($a ! $b md5($a) md5($b)) { // 输出Flag或进入最终阶段 echo $flag; } else { echo “Wrong!“; }或者更复杂一些if ($_POST[‘param1‘] ! $_POST[‘param2‘]) { if (md5($_POST[‘param1‘]) md5($_POST[‘param2‘])) { // 通关逻辑 } }这里的挑战在于需要找到两个不同的字符串但它们的MD5值在进行比较时结果为真。注意这里比较的是MD5计算后的十六进制字符串结果。4.2 剖析PHP的“”弱类型比较PHP的松散比较运算符在比较两个字符串时如果它们看起来像数字会尝试将它们转换为数值后再进行比较。这是所有问题的根源。一个著名的例子是“0e123456“ “0e987654“的结果是true。为什么因为PHP看到这两个字符串都以0e开头将其解释为科学计数法0乘以10的n次方。0e123456和0e987654作为数字计算结果都是0。0等于0所以比较结果为真。我们的目标就变成了寻找两个不同的字符串它们经过MD5计算后得到的32位十六进制字符串恰好都是0e开头后面全是数字0-9。这样的字符串被称为“0e开头MD5碰撞”或“科学计数法MD5碰撞”。4.3 寻找可用的“0e”MD5碰撞对我们需要两个不同的明文它们的MD5值32位十六进制形式为0e[0-9]例如0e123...、0e456...等。同样安全社区已经为我们找到了很多这样的现成对。记住以下几对足以应对绝大多数此类题目字符串1MD5(字符串1)字符串2MD5(字符串2)QNKCDZO0e8304004519934940580242199033912406107080e462097431906509019562988736854s878926199a0e545993274517709034328855841020s155964671a0e342768416822451524974117254469s1091221200a0e940624217856561557816327384675注意事项这些字符串的MD5值人类一眼就能看出0e后面跟着一串数字。但PHP的运算符会将其视为数字0。而严格比较则会先检查类型和值是否完全一致因此能防御此类攻击。在实战代码审计中凡是看到用或!比较MD5、SHA1等哈希值的地方都要打起十二分精神。4.4 第二阶段Payload构造与提交根据页面要求我们构造HTTP请求。假设参数是a和b通过GET传递http://target.com/next.php?aQNKCDZOb240610708或者通过POST提交表单数据aQNKCDZOb240610708提交后如果代码逻辑是if ($a ! $b md5($a) md5($b))那么条件满足应该会输出Flag或者进入最终的第三阶段。5. 最终阶段双重MD5与数组绕过5.1 可能出现的第三层逻辑有些题目会设置第三关逻辑更为“变态”例如$param1 $_GET[‘param1‘]; $param2 $_GET[‘param2‘]; if ($param1 ! $param2 md5($param1) md5($param2)) { die(‘Flag: ‘ . $flag); }注意这里的比较符!和。这是严格比较要求类型和值都完全相同。这意味着我们之前利用科学计数法的“0e”把戏完全失效了因为md5(‘QNKCDZO‘)和md5(‘240610708‘)的字符串值并不严格相等。5.2 利用MD5函数特性与PHP数组漏洞面对严格比较我们需要真正的MD5碰撞吗理论上需要但PHP给我们留了另一条路MD5函数处理数组时的行为。在PHP中md5()、sha1()等哈希函数如果传入一个数组Array作为参数函数会产生一个警告Warning并且返回NULL。例如$var array(‘a‘); echo md5($var); // 输出NULL (并伴随一个PHP Warning: md5() expects parameter 1 to be string, array given)那么对于上面的严格比较代码如果我们传入param1[]1param2[]2那么$_GET[‘param1‘]和$_GET[‘param2‘]在PHP中都是数组Array( [0] 1 )和Array( [0] 2 )。条件$param1 ! $param2成立因为两个数组内容不同。接下来计算md5($param1)和md5($param2)。由于传入的是数组两者都返回NULL。条件md5($param1) md5($param2)就变成了NULL NULL结果为true。至此我们再次绕过了严格比较。5.3 最终Payload与Flag获取因此针对最终阶段的Payload为http://target.com/final.php?param1[]1param2[]2或者POST提交param1[]1param2[]2提交这个请求后应该就能直接看到最终的Flag。踩坑记录在实际解题时一定要注意题目给出的具体代码。有些题目可能不是md5($a) md5($b)而是md5($a) md5($b)但同时又要求$a和$b不能是数组可能用is_numeric或is_string检查。这时就需要寻找真正的MD5碰撞两个不同明文产生相同的MD5哈希值这通常需要借助工具进行碰撞计算或者使用已知的碰撞对如著名的“FastColl”碰撞实例。但在这道“Easy MD5”中数组绕过法通常是最终答案。6. 完整解题流程串联与工具使用现在我们把整个攻击链串起来模拟一次完整的解题过程访问目标URL打开题目链接。首次输入测试查看页面源码和网络响应头寻找提示如Hint: select * from ‘admin‘ where passwordmd5($pass,true)。输入ffifdyop并提交。进入第二阶段页面跳转或刷新显示新的代码逻辑要求提供a和b。使用Burp Suite的Repeater模块构造请求GET /next.php?aQNKCDZOb240610708。进入第三阶段如有页面再次变化显示严格比较的代码。构造最终请求GET /final.php?param1[]1¶m2[]2。获取Flag在最后一次请求的响应中找到Flag格式通常为flag{xxxx-xxxx-xxxx}或BJD{...}。在整个过程中Burp Suite是一个不可或缺的工具。它不仅能拦截和修改请求其Repeater模块可以让你反复测试不同PayloadIntruder模块可以用于模糊测试或暴力破解虽然本题不需要Decoder模块可以方便地进行MD5、Base64等编码解码。7. 从CTF到实战安全启示录解一道CTF题乐趣在于破解谜题。但更重要的是我们要思考它在真实世界中的映射。永远不要信任用户输入这道题的第一阶段是SQL注入的经典变种。它警示我们即使对用户输入进行了哈希处理MD5如果处理不当返回二进制并直接拼接仍然可能引入注入。在开发中所有用户输入都必须经过适当的过滤和转义使用参数化查询Prepared Statements是根治SQL注入的唯一方法。哈希比较必须使用严格比较第二阶段揭示了弱类型比较的灾难性后果。在比较密码哈希、验证码等敏感数据时必须使用和!绝不能用和!。一个简单的操作符就是安全与漏洞的分界线。注意函数的输入类型第三阶段利用数组使md5()返回NULL。这提醒我们在接收参数后进行严格的类型检查如is_string()是非常有必要的。特别是在执行哈希、数学运算、字符串操作前确保变量是预期的类型。MD5已不再安全虽然本题主要利用的是PHP特性而非MD5本身的碰撞但MD5作为一种哈希算法其抗碰撞性已被证明是不安全的。在实际的密码存储场景中绝对不应该再使用MD5。应该使用password_hash()PHP或bcrypt、Argon2等专门设计的、带盐的、计算成本高的密码哈希函数。回过头看“Easy MD5”这个标题确实起得巧妙。它看似简单只涉及一个哈希函数却巧妙地串联了Web安全中输入处理、类型安全、算法误用等多个层面的“易错点”。通过这道题我们不仅练习了技巧更深刻地理解了一条安全原则系统的安全性往往取决于最薄弱的那一环而这一环常常就藏在那些被认为“简单”的处理逻辑中。下次当你再看到md5()函数时不妨多思考一下它的上下文或许就能避免一个潜在的重大漏洞。