PHP代码审计 extract变量覆盖

代码

<?php

$flag='xxx'; 
extract($_GET);
 if(isset($shiyan))
 { 
    $content=trim(file_get_contents($flag));
    if($shiyan==$content)
    { 
        echo'ctf{xxx}'; 
    }
   else
   { 
    echo'Oh.no';
   } 
   }
?>

函数

extract

extract() 函数从数组中将变量导入到当前的符号表。
该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。该函数返回成功设置的变量数目。

<?php
extract($_GET);  

echo $name.'<br>';
echo $age.'<br>';
echo $phone.'<br>';

//GET传参:?age=18&name=lanyangyang&phone=123456789   顺序可以改变

//结果:
// lanyangyang
// 18
// 123456789
?>

思考

题目是要求我们GET传参进去值会经过extract()函数，下来会有两个if 第一个if判断shiyan这个变量是否存在，存在则继续执行if里面的使用file_get_contents()读取flag变量里面的文件传递给content变量之后 再进行判断传进来shiyan变量的值等不等于$content如果等于则打印出flag!
这里我们构造因为通过extract()函数我们传进的值会变成一个变量  例如我们GET传入 shiyan=1 则会存在$shiyan=1  所以我们构造GET传参pyaload:
?shiyan=&flag= 或者说?shiyan=&flag   
这样在程序中会有两个为空的变量$shiyan和$flag,而$flag=空 则覆盖了上面的$flag中的值，由于都是空的所以为真则得到flag。

注意

虽然传入的flag参数没有赋值，但是利用isset进行判断时，为true
<?php
$flag=null;
if(isset($flag)){
    echo "flag 已经设置","<br>";
}else{
    echo "flag还未设置","<br>";
}

echo "开始传参","<br>";
extract($_GET);
if(isset($flag)){
    echo "flag 已经设置","<br>";
}else{
    echo "flag还未设置";
}

若使用 isset() 测试一个被设置成 NULL 的变量，将返回 FALSE。同时要注意的是 null 字符（"\0"）并不等同于 PHP 的 NULL 常量，故空字符串作为isset的参数时，返回的是true