[NISACTF 2022]checkin Unicode 双向控制字符（Bidi）混淆

本题在线靶场#

https://www.nssctf.cn/problem/2035

代码审计#

把它复制粘贴到vscodex里面

1
<?php
2
error_reporting(0);
3
include "flag.php";
4
// ‮⁦NISACTF⁩⁦Welcome to
5
if ("jitanglailo" == $_GET[ahahahaha] &‮⁦+!!⁩⁦& "‮⁦ Flag!⁩⁦N1SACTF" == $_GET[‮⁦Ugeiwo⁩⁦cuishiyuan]) { //tnnd! weishenme b
6
    echo $FLAG;
7
}
8
show_source(__FILE__);
9
?>

这下看清楚了，VS Code能显示出这些不可见字符的占位符— Unicode 控制字符

• [U+202E] (RLO)：从这里开始，后面的字符强制从右向左显示。
• [U+2066] (LRI)：开始一个从左向右的隔离区。
• [U+2069] (PDI)：结束隔离区。

我们在脑海中把不可见字符替换为 [RLO]、[LRI]、[PDI]：

1
if ("jitanglailo" == $_GET['ahahahaha'] & [RLO][LRI]+!![PDI][LRI]& " [RLO][LRI]Flag![PDI][LRI]N1SACTF" == $_GET['[RLO][LRI]Ugeiwo[PDI][LRI]cuishiyuan'])

这下就很清晰了，第三个条件为

1
"[RLO][LRI]Flag![PDI][LRI]N1SACTF" == $_GET['[RLO][LRI]Ugeiwo[PDI][LRI]cuishiyuan']

至于PHP 是如何解析中间这坨 & [RLO][LRI]+!![PDI][LRI]& 的？

1. 因为 error_reporting(0)，PHP 会把 [RLO][LRI] 和 [PDI][LRI] 当作未定义的常量，并降级为字符串。

2. +!![PDI][LRI]：!! 是双重取反，任何非空字符串取反两次都是 true（即 1）。[RLO][LRI] 字符串转数字是 0。所以 0 + 1 = 1。

3. 整个表达式变成了 & 1 &。

4. 在 PHP 中，&（按位与）的优先级低于 ==。所以实际上变成了：(A == 1) & 1 & (B == 1)。这等价于 A && B。

构造 Payload#

既然逻辑还原了，我们要满足两个条件：

1. ahahahaha = jitanglailo

• 参数名必须包含特殊字符：[RLO][LRI]Ugeiwo[PDI][LRI]cuishiyua
• 参数值必须包含特殊字符：“[RLO][LRI]Flag![PDI][LRI]N1SACTF”

所以在发送请求时，你需要将这些特殊字符进行 URL 编码（U+202E -> %E2%80%AE，U+2066 -> %E2%81%A6，U+2069 -> %E2%81%A9）。

1
?ahahahaha=jitanglailo&%E2%80%AE%E2%81%A6Ugeiwo%E2%81%A9%E2%81%A6cuishiyuan=%E2%80%AE%E2%81%A6%20Flag%21%E2%81%A9%E2%81%A6N1SACTF