wp-bugku-变量1

打开url出现一段代码：

flag In the variable ! <?php  		//提示flag在变量中
error_reporting(0);					//关闭错误显示
include "flag1.php";				//包含flag1.php
highlight_file(__file__);			//代码高亮
if(isset($_GET['args'])){			//判断args参数是否存在
    $args = $_GET['args'];			//将get方法获取的参数“args”赋值给args变量
    if(!preg_match("/^\w+$/",$args)){		//正则匹配，/^开始，\w表示任意一个单词字符即[a-zA-Z0-9_] ,+将前面的字符匹配一次或多次，$/结尾
        die("args error!"); 	匹配失败提示
    }
    eval("var_dump($$args);"); 		//将字符串作为php代码执行结尾加分号, var_dump()函数 显示关于一个或多个表达式的结构信息，包括表达式的类型与 值。数组将递归展开值，通过缩进显示其结构。$$args 可以理解为$($args)
}
?>

注：php中的变量可以作为另一个变量的变量名：

<?php
$a = 'b';
$b = 'hello';
eval("var_dump($$a);");
?>

此段代码输出：hello
因为提示flag in the variable！
想到一个包含了全部变量的全局组合数组“$GLOBALS”

$GLOBALS
 — 引用全局作用域中可用的全部变量

说明
一个包含了全部变量的全局组合数组。变量的名字就是数组的键。

范例
Example #1 $GLOBALS 范例

<?php
function test() {
    $foo = "local variable";

    echo '$foo in global scope: ' . $GLOBALS["foo"] . "\n";
    echo '$foo in current scope: ' . $foo . "\n";
}

$foo = "Example content";
test();
?>
以上例程的输出类似于：

$foo in global scope: Example content
$foo in current scope: local variable
注释
Note:

“Superglobal”也称为自动化的全局变量。这就表示其在脚本的所有作用域中都是可用的。不需要在函数或方法中用 global $variable; 来访问它。

Note: 变量可用性
与所有其他超全局变量不同，$GLOBALS在PHP中总是可用的。

构造payload ：?args=GLOBALS
var_dump列出所有的变量。