1. 项目概述：从一道CTF题目看Web安全中的哈希碰撞

最近在复盘一些经典的网络安全竞赛（CTF）题目时，又看到了“easy_md5”这个老朋友。这个名字乍一看平平无奇，似乎就是考察一下MD5哈希函数的基本用法，但真正上手去解，你会发现它远不止“easy”那么简单。这道题，或者说这类以“easy_md5”为名的题目，实际上是一个绝佳的切入点，让我们能深入理解Web应用安全中一个非常经典且危险的漏洞类型：哈希碰撞与弱类型比较漏洞。它不要求你拥有多么高深的密码学知识，而是考验你对PHP语言特性、HTTP协议交互以及服务器端逻辑缺陷的敏锐洞察力。对于刚入门Web安全的新手来说，搞懂这道题背后的原理，远比单纯拿到一个“flag”更有价值。今天，我就结合这道典型的CTF题目，带大家从头到尾拆解一遍，不仅告诉你“怎么做”，更重点剖析“为什么这么做”，以及在实际的渗透测试或代码审计中，如何发现并利用类似的逻辑缺陷。

2. 核心漏洞原理深度解析

2.1 MD5哈希函数与“碰撞”的本质

要理解“easy_md5”，首先得明白MD5是什么。MD5（Message-Digest Algorithm 5）是一种被广泛使用的密码散列函数，可以产生出一个128位（16字节）的散列值，用于确保信息传输完整一致。在理想情况下，对于不同的输入，MD5应该产生截然不同的输出（哈希值）。然而，MD5早已被证明不是“抗碰撞”的。所谓“碰撞”，就是指找到两个不同的输入消息，经过MD5计算后，得到了完全相同的哈希值。

在CTF的“easy_md5”场景下，我们通常不需要进行复杂的密码学攻击来寻找真正的科学碰撞（比如著名的“王小云教授碰撞攻击”）。题目往往利用的是PHP语言在处理MD5哈希值时的另一个特性：它对“0e”开头的字符串的特殊解释。如果一个字符串的MD5哈希值是以“0e”开头，后面紧跟全部为数字的字符（例如 0e123456789... ），那么在某些弱类型比较的语境下，PHP会将它视为科学计数法表示的浮点数“0”。这是整个漏洞链条的起点。

2.2 PHP弱类型比较（ == ）的陷阱

PHP中有两种比较运算符：松散比较 == 和严格比较 === 。 === 会同时比较值和类型，而 == 在比较前会尝试进行类型转换。正是这种类型转换机制，埋下了安全隐患。

当PHP使用 == 比较一个字符串和一个数字时，它会尝试将字符串转换为数字。转换规则是：如果字符串以有效的数字（或科学计数法）开头，则转换到该数字为止；否则转换为0。对于“0e123456”这样的字符串，PHP会将其解析为科学计数法 0 * 10^123456 ，其结果就是整数0。

因此，考虑以下代码逻辑：

if ($_GET['a'] == $_GET['b']) {
    // 要求a和b的值不同
}

如果我们传入 a=QNKCDZO&b=240610708 ，服务端代码可能会先计算它们的MD5：

• md5('QNKCDZO') = 0e830400451993494058024219903391
• md5('240610708') = 0e462097431906509019562988736854

在 == 比较下，这两个字符串都会被当作数字0处理，于是 0 == 0 成立，成功绕过了“值不同”的检查！这就是最经典的MD5碰撞利用。题目“easy_md5”的第一关，往往就是设置这样一个简单的“值不同但MD5相等”的检查点。

2.3 扩展：数组绕过与SQL注入中的MD5碰撞

除了“0e”碰撞，MD5在PHP中还有一个更“粗暴”的绕过方式：传入数组。 md5() 函数如果接收到一个数组作为参数，会产生一个警告（Warning），并且返回 NULL 。那么，如果代码是：

if (md5($_GET['a']) == md5($_GET['b'])) {
    // 执行关键逻辑
}

我们直接传入 a[]=1&b[]=2 。此时 md5(array(1)) 和 md5(array(2)) 都返回 NULL 。那么 NULL == NULL 的比较结果自然是 true ，再次绕过。这种方法甚至不依赖于具体的哈希值。

在更复杂的题目中，这个漏洞可能会与SQL注入结合。例如，查询语句可能是：

SELECT * FROM users WHERE username='admin' AND password='".md5($input)."'

如果后端在验证时，先查询数据库，再用 == 比较用户输入经MD5后的值和数据库存储的值，那么利用上述的“0e”碰撞，我们可能找到一个特定的输入，其MD5值恰好与数据库中某个未知的、但也是“0e”开头的哈希值匹配（在 == 下都等于0），从而实现身份绕过。这要求数据库里恰好存在这样的哈希值，在CTF题目中，这通常是出题人预设好的。

3. 典型“easy_md5”CTF题目实战拆解

我们假设一个常见的“easy_md5”题目场景。访问目标网址，你可能会看到一段简单的PHP源码，或者通过抓包、查看网页注释等方式获得后端逻辑。

3.1 第一层：GET参数碰撞

最常见的初级关卡代码如下：

<?php
highlight_file(__FILE__);
$a = $_GET['a'];
$b = $_GET['b'];
if ($a != $b && md5($a) == md5($b)) {
    // 第一层通过，进入下一步或输出部分提示
    echo "Level 1 passed!";
    // 可能这里会设置一个cookie或session，进入第二层
    $_SESSION['level1'] = true;
}
?>

解题步骤与思路：

1. 分析条件 ：要求 $a != $b 但 md5($a) == md5($b) 。
2. 选择攻击向量 ：使用经典的“0e”碰撞字符串。我们不需要自己计算，网络上早有现成的“彩虹表”。
3. 构造Payload ：在浏览器地址栏或使用HackTools（如Burp Suite）构造请求： http://target.com/challenge.php?a=QNKCDZO&b=240610708
4. 发送请求 ：发送后，页面应显示“Level 1 passed!”或类似提示。

实操心得 ：并不是所有“0e”开头的MD5都有效。必须确保“0e”后面紧跟的全部是数字（0-9）。像 0eabc... 这种包含字母的，PHP在转换时会失败，最终可能被当作字符串“0eabc”与数字比较，结果不为0。常用的可靠Payload对除了上面那对，还有 a=s878926199a 和 b=s155964671a ，它们的MD5分别是 0e545993274517709034328855841020 和 0e342768416822451524974117254469 。

3.2 第二层：POST参数与更严格的比较

通过第一层后，题目可能会跳转到一个新页面，或者要求你以POST方式提交参数。第二层代码可能如下：

<?php
if (!isset($_SESSION['level1']) || $_SESSION['level1'] !== true) {
    die('Access Denied.');
}
$param1 = $_POST['param1'];
$param2 = $_POST['param2'];
if ($param1 !== $param2 && md5($param1) === md5($param2)) {
    echo $flag; // 最终目标！
}
?>

难度升级分析 ： 这一层使用了严格比较 !== 和 === 。 md5($param1) === md5($param2) 要求两个MD5哈希值必须 类型相同且值完全相同 。这意味着“0e”碰撞和数组绕过（返回NULL）都失效了，因为：

• “0e”碰撞：两个字符串值确实不同（ 0e830... != 0e462... ），严格比较不成立。
• 数组绕过：两个NULL值虽然相等，但 md5(array()) 会产生警告，严格比较下， NULL === NULL 虽然成立，但题目通常会有 if ($param1 !== $param2) 的前置条件，而 array(1) !== array(2) 是成立的。然而，有些题目会使用 @ 操作符抑制警告（ @md5($param) ），这时数组绕过可能依然有效，但并非通解。

真正的解法：利用MD5的真实碰撞（科学碰撞） 既然要求值完全相同，我们就必须找到两个 不同 的输入，使它们的MD5哈希值 真正地、逐字节相同 。这听起来很难，但感谢密码学家的研究，我们已经有一些公开的、能产生相同MD5值的不同数据块。在CTF中，出题人通常会预期你使用这种方法。

实操步骤：

1. 寻找碰撞对 ：使用已知的MD5碰撞前缀。例如，著名研究者Marc Stevens提供的“单块碰撞”示例。你可以找到两个十六进制字符串，它们的前64字节（一个MD5数据块）不同，但能产生相同的MD5值。一个经典的例子是（以下为十六进制表示）：

   数据块A: 4dc968ff0ee35c209572d4777b721587d36fa7b21bdc56b74a3dc0783e7b9518afbfa200a8284bf36e8e4b55b35f427593d849676da0d1555d8360fb5f07fea2
   数据块B: 4dc968ff0ee35c209572d4777b721587d36fa7b21bdc56b74a3dc0783e7b9518afbfa200a8284bf36e8e4b55b35f427593d849676da0d1d55d8360fb5f07fea2
   

   注意，只有中间一个字节不同（ 0x1555 vs 0x1d55 ），但计算出的MD5完全相同。
2. 编码与提交 ：这两个十六进制字符串解码后是二进制数据，不能直接通过POST表单提交。我们需要将它们进行URL编码或Base64编码。
   • 将十六进制字符串解码为二进制文件（例如使用Python的 binascii.unhexlify ）。
   • 对二进制数据进行Base64编码。
   • 将编码后的字符串作为 param1 和 param2 的值，通过POST请求发送。
3. 使用工具 ：手动操作很麻烦。在实战CTF中，通常会编写一个简单的Python脚本，利用 requests 库自动完成这个过程。也有现成的CTF工具（如 hashcollider ）可以帮助生成和提交碰撞对。

3.3 第三层：结合SQL注入的复合漏洞

有些“easy_md5”题目会设计得更综合，例如：

<?php
$username = $_POST['username'];
$password = $_POST['password'];
// 假设数据库中存在一个用户，密码的MD5哈希值是 0e123...（一个已知的0e哈希）
$sql = "SELECT * FROM users WHERE username='$username' AND password='".md5($password)."'";
$result = mysqli_query($conn, $sql);
if (mysqli_num_rows($result) > 0) {
    $row = mysqli_fetch_assoc($result);
    if ($row['password'] == md5($password)) { // 这里用了 ==
        echo $flag;
    }
}
?>

漏洞链分析 ：

1. 第一眼看去，这像是一个简单的SQL注入点，因为 $username 直接拼接进了SQL语句。
2. 但仔细看， password 字段经过了 md5() 处理，通常认为这能防止注入。
3. 真正的漏洞在后面的 if ($row['password'] == md5($password)) 。这里使用了弱类型比较 == 。
4. 攻击思路 ：我们不需要知道管理员真正的密码。我们只需要找到一个字符串，其MD5值以“0e”开头。这样，无论数据库中的密码哈希值是什么（假设它也是一个“0e”开头的字符串，这是出题人预设的），在 == 比较下， 0e... == 0e... 都会成立（都等于0）。
5. 结合SQL注入 ：为了触发这个比较，我们首先需要通过SQL注入成功登录，让查询返回一行结果。我们可以用 username=admin' -- 注释掉后面的密码检查，这样查询就变成了 SELECT * FROM users WHERE username='admin' -- AND password='...' ，只要admin用户存在，就能登录成功。
6. 最终Payload ：
   • username: admin' --
   • password: 240610708 (或任何其他已知的“0e”碰撞字符串)

这样，我们首先通过注入绕过密码验证登录，然后后端代码用 == 比较数据库中的密码哈希（预设的0exxx）和我们输入密码的MD5（0e462...），两者相等，成功获取flag。

4. 工具、脚本与自动化利用

手动构造这些Payload虽然有助于理解原理，但在实战或比赛中效率太低。下面分享几个我常用的方法和脚本。

4.1 使用Burp Suite的Intruder或Repeater

对于第一类“0e”碰撞题目，可以预先收集一个“0e”碰撞字符串列表，保存为字典文件。在Burp Suite的Intruder模块中：

1. 抓取包含 a 和 b 参数的请求。
2. 将两个参数的值设置为字典加载的位置。
3. 载荷（Payload）选择从文件加载你的“0e碰撞字典”。
4. 攻击类型选择“交叉乘积”（Cross product），这样会尝试字典中所有字符串的两两组合。
5. 根据响应长度或关键词（如“passed”）筛选成功的结果。

4.2 Python自动化脚本示例

对于需要POST请求、编码或更复杂逻辑的题目，编写Python脚本是首选。

示例1：自动化测试“0e”碰撞（第一层）

import requests
import itertools

# 已知的一些0e碰撞字符串
collision_pairs = [
    ('QNKCDZO', '240610708'),
    ('s878926199a', 's155964671a'),
    ('s214587387a', 's214587387a'), # 注意：这个不是碰撞对，只是示例格式
]

url = "http://target.com/level1.php"
for a, b in collision_pairs:
    params = {'a': a, 'b': b}
    r = requests.get(url, params=params)
    if 'passed' in r.text:
        print(f"Success with a={a}, b={b}")
        print(r.text)
        break

示例2：生成并提交真实MD5碰撞（第二层） 这个示例需要用到预先准备好的碰撞二进制文件 collision1.bin 和 collision2.bin 。

import requests
import base64

url = "http://target.com/level2.php"

with open('collision1.bin', 'rb') as f:
    data1 = f.read()
with open('collision2.bin', 'rb') as f:
    data2 = f.read()

# 通常需要以某种编码（如base64）提交
param1 = base64.b64encode(data1).decode('ascii')
param2 = base64.b64encode(data2).decode('ascii')

payload = {
    'param1': param1,
    'param2': param2
}

# 可能需要处理session，这里假设使用requests的Session
s = requests.Session()
# 先获取一次页面，建立会话（如果第一关设置了session）
s.get('http://target.com/index.php')

r = s.post(url, data=payload)
print(r.text)

4.3 在线资源与工具推荐

• Hash Collision Database ：一些网站和GitHub仓库收集了各种哈希函数的碰撞实例，包括MD5的“0e”字符串和真正的二进制碰撞对。搜索“md5 collision examples”可以找到。
• PHP Type Juggling Cheatsheet ：PHP弱类型比较的备忘录，对于理解 == 的行为至关重要。
• Burp Suite 插件：PHP Object Injection Checker ：虽然不直接相关，但一些检查PHP反序列化的插件也会包含对弱类型比较的测试用例。

5. 防御方案与安全编程实践

作为开发者，如何避免自己的代码成为“easy_md5”呢？

5.1 根本原则：使用严格比较（ === 和 !== ）

这是最重要的第一条。在任何涉及用户输入比较、尤其是与哈希值、密码等敏感数据比较时， 必须 使用严格比较运算符。

// 危险！
if ($userProvidedHash == $storedHash) { ... }
// 安全！
if (hash_equals($userProvidedHash, $storedHash)) { ... } // 或者使用 ===

PHP 5.6+ 提供了 hash_equals() 函数，专门用于比较哈希字符串，它能以恒定时间进行比较，避免时序攻击，是当前的最佳实践。

5.2 正确处理哈希值

1. 不要依赖MD5 ：对于密码存储，MD5早已不安全。使用 password_hash() 函数生成哈希，并用 password_verify() 进行验证。它们默认使用BCrypt算法，自动处理盐值，且强度可调。
2. 哈希值作为标识符要小心 ：如果你因为某些原因必须用MD5或SHA1作为数据标识（如文件校验），并且需要进行相等比较，请确保使用严格比较 === ，并且意识到碰撞风险。对于极高安全要求的场景，应考虑更安全的哈希函数（如SHA-256, SHA-3）。

5.3 输入验证与类型检查

在处理用户输入前，明确你期望的数据类型。

// 如果期望是字符串
if (!is_string($_GET['input'])) {
    die('Invalid input type.');
}
// 如果期望是整数，使用 intval 或 filter_var
$id = filter_var($_GET['id'], FILTER_VALIDATE_INT);
if ($id === false) {
    die('Invalid ID.');
}

5.4 避免将用户输入直接用于关键逻辑判断

像“easy_md5”题目中的 if ($a != $b && md5($a) == md5($b)) 这种逻辑，在真实业务中几乎不会出现。但它的变种可能存在，例如根据用户输入的某个标识符的哈希值来决定执行路径。应尽量避免这种设计，如果必须，请确保使用严格比较，并对输入进行严格的白名单过滤。

5.5 代码审计要点

在审计PHP代码时，将 == 和 != 视为高危信号。特别是当它们出现在以下语境时：

• 身份验证（密码、Token、Session比较）
• 权限检查（用户角色/ID比较）
• 业务逻辑开关（如 if ($_GET['mode'] == 'admin') ）
• 与哈希值相关的任何比较

使用IDE的搜索功能全局搜索 == 和 != ，并逐一审查其上下文，是发现此类漏洞的有效方法。

6. 总结与延伸思考

“easy_md5”这个题目系列，就像一把钥匙，为我们打开了Web安全中“逻辑漏洞”这扇大门。它告诉我们，安全不仅仅是防范SQL注入和XSS，那些隐藏在代码深处、源于编程语言特性和开发者思维盲区的逻辑缺陷，往往更具破坏性。

从这道题延伸出去，我们可以思考更多：

• 其他语言的类似问题 ：PHP的弱类型是重灾区，但其他语言呢？JavaScript的 == 同样存在类型转换问题。Java在比较字符串时使用 .equals() 而非 == ，但涉及到数字字符串转换呢？
• 哈希扩展攻击 ：当MD5/SHA1等哈希函数与“密钥”以不安全的方式结合时（如 md5($secret . $message) ），即使不知道密钥，也可能构造出新的合法消息和哈希值。
• 时间攻击 ：在比较哈希或密码时，如果使用普通的字符串比较（如 $a == $b ），比较到第一个不同的字符时就返回false，攻击者可以通过精确测量响应时间，逐位猜解出正确的值。这就是为什么推荐使用 hash_equals() 的原因。

理解“easy_md5”，最终是为了写出更安全的代码。下次当你写下 if ($a == $b) 时，不妨停顿一秒，问问自己：我确定这里不需要 === 吗？这两个变量真的会是同一种类型吗？这一个小小的习惯，或许就能挡住一次实实在在的攻击。安全无小事，往往就藏在这些看似“easy”的细节里。