南京邮电大学网络攻防训练平台

nctf{flag_admiaanaaaaaaaaaaa}

<?php
$md51 = md5('QNKCDZO');      //md51变量 = QNKCDZO 字符串的md5值
$a = @$_GET['a'];            //定义一个变量 a 并使用GET方式传递值给它
$md52 = @md5($a);            //md51变量 = 变量 a 的md5值
if(isset($a)){               //判断 a 变量是否为空 不为空的话 条件为真
if ($a != 'QNKCDZO' && $md51 == $md52) {  //a变量的值不为QNKCDZO并且md5值等于 QNKCDZO的md5值
    echo "nctf{*****************}";       //输出flag
} else {
    echo "false!!!";
}}
else{echo "please input a";}
?>

$a != 'QNKCDZO' && $md51 == $md52

从源码中可以得输入一个 a 的参数的变量，a 首先不等于QNKCDZO并且 a 得 md5 值必须等于QNKCDZO加密后的 md5 值。

乍一看好像不可能存在这样的值，但是这里QNKCDZO加密后的 md5 值为0e830400451993494058024219903391 
这里是0e开头的，在进行等于比较的时候，PHP 把它当作科学计数法，0 的无论多少次方都是零。 

所以这里利用上面的弱类型的比较的缺陷来进行解题。

nctf{md5_collision_is_easy}

nctf{follow_me_to_exploit}

nctf{photo_can_also_hid3_msg}

nctf{this_is_a_fl4g}