前言
文章所涉及的资料来自互联网整理和个人总结,意在于个人学习和经验汇总,如有什么地方侵权,请联系本人删除,谢谢!本文仅用于学习与交流,不得用于非法用途!
知识点:
主要考点是$$会导致变量覆盖
题目:
dirsearch扫描一下,发现/.git,用githack获取源码
<?php
include 'flag.php';
$yds = "dog";
$is = "cat";
$handsome = 'yds';
foreach($_POST as $x => $y){
$$x = $y;
}
foreach($_GET as $x => $y){
$$x = $$y;
}
foreach($_GET as $x => $y){
if($_GET['flag'] === $x && $x !== 'flag'){ //GET方式传flag只能传一个flag=flag
exit($handsome);
}
}
if(!isset($_GET['flag']) && !isset($_POST['flag'])){ //GET和POST其中之一必须传flag
exit($yds);
}
if($_POST['flag'] === 'flag' || $_GET['flag'] === 'flag'){ //GET和POST传flag,必须不能是flag=flag
exit($is);
}
echo "the flag is: ".$flag;
?>
审计代码后,发现想要正常按照题目的流程拿到flag基本不可能,题目的提示也是骗人的。
先整理一下思路,既然不能正常流程获取flag,看到$$能够覆盖变量,就应该从那些作为exit()函数供用的参数下手,化为己用,让它能够输出flag,应该就是这题的标准解法。
先看这串代码
foreach($_POST as $x => $y){
$$x = $y;
}
foreach($_GET as $x => $y){
$$x = $$y;
}
foreach($_GET as $x => $y){
if($_GET['flag'] === $x && $x !== 'flag'){ //GET方式传flag只能传一个flag=flag
exit($handsome);
}
}
如果指望让$handsome能够输出flag,应该是不可能的了。因为需要满足的条件为:
在GET找到名为flag的键,与在GET所有的键强比较,需相等
且
让GET中所有的键与字符串flag
强比较,需不相等
再看看这段代码
if(!isset($_GET['flag']) && !isset($_POST['flag'])){ //GET和POST其中之一必须传flag
exit($yds);
}
输出$yds
需要满足的条件:
GET中需要没设置有名为flag的键
且
POST中需要没设置有名为flag的键
相比第一个变量$handsome
来说,变量$yds
更容易操纵!那就先尝试着getflag。
GET传入yds=flag,到$$x = $$y
时,即为$yds=$flag
,此时,$yds的值等于flag{xxxxxx},且满足GET与POST没有flag键,输出flag。
这道题虽然看起来非常绕,但把思路捋清了后,会显的十分简单。