> For the complete documentation index, see [llms.txt](https://gitbook-88.gitbook.io/ctf-writeup/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://gitbook-88.gitbook.io/ctf-writeup/2019/2019-an-xun-bei/easy_web.md).
# easy\_web
注意到默认后缀传入两个参数
```
?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=
```
其中img为base64编码，两次解压后得到`3535352e706e67`，可能为16进制，转为`555.png`。
利用读取index.php源码
```php
';
die("xixi～ no flag");
} else {
$txt = base64_encode(file_get_contents($file));
echo "![](data:image/gif;base64," . $txt . ")
";
echo "
";
}
echo $cmd;
echo "
";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
echo("forbid ~");
echo "
";
} else {
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
echo `$cmd`;
} else {
echo ("md5 is funny ~");
}
}
?>
```
看着有两个漏洞点，一个是读取文件，一个是命令执行，但是读取文件被过滤了flag，cmd也有正则。
考点就是md5强碰撞，以及用\绕过正则。
