透过一道CTF题目学到的小知识点 – 作者:Chr1sto-安全小百科

0x00 正文

先放出这道题的源码

<?php
class trick{
    public $trick1;
    public $trick2;
    public function __destruct(){
        $this->trick1 = (string)$this->trick1;
        if(strlen($this->trick1) > 5 || strlen($this->trick2) > 5){
            die("你太长了");
        }
        if($this->trick1 !== $this->trick2 && md5($this->trick1) === md5($this->trick2) && $this->trick1 != $this->trick2){
            echo file_get_contents("/flag");
        }
    }
} 
highlight_file(__FILE__);
unserialize(_GET[trick]);

审计源码可以看到定义了一个trick类，trick1和trick2两个变量，当程序结束，__destruct()方法被调用

trick1被强转为字符串，接下来判断两个变量的长度，当两个变量的长度不大于5时进入下面的逻辑

接着往下，当trick1和trick2不相等并且md5值相等时才能输出flag

本质上是一道简单的题，但是关键点就在于如何绕过，让strick1被强转成字符串后的md5值还和strick2相等

那么重点来了

我们构造序列化的时候需要传的值为

trick1=0.01

trick2=0.1*0.1

为什么要传这两个值呢，别急，我们一点一点往下看

先看我构造序列化的代码

<?php
class trick{
    public $trick1;
    public $trick2;
    public function __destruct(){
        $this->trick1 = (string)$this->trick1;
        if(strlen($this->trick1) > 5 || strlen($this->trick2) > 5){
            die("你太长了");
        }
        if($this->trick1 !== $this->trick2 && md5($this->trick1) === md5($this->trick2) && $this->trick1 != $this->trick2){
            echo file_get_contents("/flag");
        }
    }
} 

$chr1sto = new trick();
$chr1sto->trick1=0.01;
$chr1sto->trick2=0.1*0.1;
$s = serialize($chr1sto);
print($s);

按照我们之前分析的逻辑，当我们赋值了这两个变量，程序结束，调用析构方法，先将trick1强转为字符串

然后判断两个变量的长度是否大于5

先看一下我们序列化出的结果

O:5:”trick”:2:{s:6:”trick1″;d:0.01;s:6:”trick2″;d:0.010000000000000002;}

有意思的事情出现了

我们赋值的trick2=0.1*0.1反序列化后的结果为0.010000000000000002

按照正常的理解不应该是0.01吗

那为什么会这样呢

这其实是一个浮点数精度的问题

官方文档里是这么说的：

浮点数的精度
浮点数的精度有限。尽管取决于系统，PHP 通常使用 IEEE 754 双精度格式，则由于取整而导致的最大相对误差为 1.11e-16。非基本数学运算可能会给出更大误差，并且要考虑到进行复合运算时的误差传递。

此外，以十进制能够精确表示的有理数如 0.1 或 0.7，无论有多少尾数都不能被内部所使用的二进制精确表示，因此不能在不丢失一点点精度的情况下转换为二进制的格式。这就会造成混乱的结果：例如，floor((0.1+0.7)*10) 通常会返回 7 而不是预期中的 8，因为该结果内部的表示其实是类似 7.9999999999999991118…。

所以永远不要相信浮点数结果精确到了最后一位，也永远不要比较两个浮点数是否相等。如果确实需要更高的精度，应该使用任意精度数学函数或者 gmp 函数。

通俗来说，像0.1，0.7，0.58之类的浮点数十进制值转换为二进制是一个无限长的值，也就是说没办法用二进制精准表示，这个是所有语言的通病，因为计算机底层就是这么规定的，所以会出现精度丢失的问题

以下情况会出现精度丢失的问题