审计练习9——[BJDCTF2020]Mark loves cat

平台：buuoj.cn
打开靶机

先扫目录，发现git泄露

githack下下来

看下这两个php文件

flag.php读取flag，index.php前端代码后php关键代码如下

<?php

include 'flag.php';

$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;//把post传入的变量x前添加$
}

foreach($_GET as $x => $y){
    $$x = $$y;//把get传入的x,y前添加$
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);//判断get传进来的值是否等于flag
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);//不传入flag则输出$yds
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);//get和post不能传flag=flag
}

echo "the flag is: ".$flag;%

考点是变量覆盖漏洞
先了解下概念：

$$这种写法称为可变变量，一个可变变量获取了一个普通变量的值作为这个可变变量的变量名。
使用foreach来遍历数组中的值，然后再将获取到的数组键名作为变量，数组中的键值作为变量的值。因此就产生了变量覆盖漏洞。

引用个例子：

<?php
foreach ($_GET as $key => $value) {
${$key} = $value;
}
echo $a;
?>

传入的数据$key和$value，${$key}用了get传进来的$key做为新的变量,之后再将get传进来的$value赋值给它。假如?a=1 经过覆盖就会解析为$a=1。就造成了变量覆盖。

解题

感觉有点绕，但通过flag.php，我们知道是要get传入一个$flag，post一个flag，这样，就能$flag = file_get_contents(’/flag’);
那么先看get吧，首先我们传入一个yds=flag

$$x = $$y之后就变成了$yds=$flag，$flag就是我们要得到flag的值

再post一个$flag=flag

post经过$$x = $y变成了$$flag = flag

由于

只要get和post没有$flag参数，就输出$yds，我们传入的值为

get：yds
post: $flag

实际被覆盖之后是

get：$yds
post：$$flag

满足没有$flag的条件
因此可以exit($yds)
而$yds=$flag，$$flag=flag
最终就可以执行$flag = file_get_contents(’/flag’);
把值传上去得到flag