[BJDCTF2020]Mark loves cat

web第41题
[BJDCTF2020]Mark loves cat
打开靶场：

一个个人网页，查看源码没有发现，尝试一波目录扫描

发现有.git目录，猜测存在.git源码泄露
参考[GXYCTF2019]禁止套娃的开始思路
利用GitHack将源码下载下来

由于环境有问题，index.php和flag.php文件下载不下来，只能得到assets文件夹

只好借用别人wp的源码：
flag.php:

<?php

$flag = file_get_contents('/flag')

index.php:

<?php
include 'flag.php';
$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;	
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){	//GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){	//GET和POST其中之一必须传flag
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){	//GET和POST传flag,必须不能是flag=flag
    exit($is);
}
echo "the flag is：".$flag;

代码审计：
第一个foreach：

foreach($_POST as $x => $y){
    $$x = $y;
}

将POST的数据遍历为键值对，然后使得键名对应的变量等于值，即$ ($x)= $y
比如提交的是： a=flag,那么就会使得 $a=flag

第二个foreach

foreach($_GET as $x => $y){
    $$x = $$y;	
}

将GET型传入的数据遍历为键值对，并且使得键名对应的变量等于值名对应的变量
比如提交的是：a=flag，那么转换后为 $a = $flag

第三个foreach：

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){	//GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

遍历get方式传入数据的键值对，if中判断有名为flag的参数，并且值要强等于$x,同时满足 $x的值不为flag。才执行exit

第二个if：

if(!isset($_GET['flag']) && !isset($_POST['flag'])){	//GET和POST其中之一必须传flag
    exit($yds);
}

没有名为flag的get型参数和post型参数时执行exit

第三个if：

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){	//GET和POST传flag,必须不能是flag=flag
    exit($is);
}

POST提交的名为flag的参数的值必须为flag，或者get型提交的名为flag的参数的值必须为flag

思路：结合flag.php的内容：$flag = file_get_contents(’/flag’)，我们必须要构造变量覆盖，利用exit，将 $flag作为参数传入，得到flag

解法一：
利用第二个if中的exit( $yds)
构造payload： ?yds=flag
经过第二个foreach后得到 $yds= $flag
然后就会执行第二个if中的exit,此时执行的是exit( $flag)

解法二：
利用第三个foreach中的exit( $hansome)

if($_GET[‘flag’] === $x && $x !== ‘flag’){
exit( $handsome);
}
经过分析，可以明确知道传一个get型参数绕不过这里的if判断
可以尝试构造2个参数：?a=flag&flag=a或者?flag=a&a=flag
分析：首先foreach取出第一个键值对 $x=a $y=flag
进入if，此时 $_GET[‘flag’]=a === $x=a ，并且 $x = a !== ‘flag’

满足条件可以执行exit
此时的exit中为$hansome，要得到flag，必须使得 $hansome= $flag
构造payload：?handsome=flag&flag=handsome

注意：?flag=handsome&handsome=flag不行
原因：由于handsome有初值，经过第二个foreach后 $flag= $handsome=‘yds’

解法三：
利用exit($is)

绕过第三个if，只需要传2个get型参数使得flag=flag同时is=flag即可
payload：?is=flag&flag=flag
经过第二个foreach之后 $is= $flag