代码
<?php
$flag='xxx';
extract($_GET);
if(isset($shiyan))
{
$content=trim(file_get_contents($flag));
if($shiyan==$content)
{
echo'ctf{xxx}';
}
else
{
echo'Oh.no';
}
}
?>
函数
extract
extract() 函数从数组中将变量导入到当前的符号表。
该函数使用数组键名作为变量名,使用数组键值作为变量值。针对数组中的每个元素,将在当前符号表中创建对应的一个变量。该函数返回成功设置的变量数目。
<?php
extract($_GET);
echo $name.'<br>';
echo $age.'<br>';
echo $phone.'<br>';
//GET传参:?age=18&name=lanyangyang&phone=123456789 顺序可以改变
//结果:
// lanyangyang
// 18
// 123456789
?>
思考
题目是要求我们GET传参进去值会经过extract()函数,下来会有两个if 第一个if判断shiyan这个变量是否存在,存在则继续执行if里面的使用file_get_contents()读取flag变量里面的文件传递给content变量之后 再进行判断传进来shiyan变量的值等不等于$content如果等于则打印出flag!
这里我们构造因为通过extract()函数我们传进的值会变成一个变量 例如我们GET传入 shiyan=1 则会存在$shiyan=1 所以我们构造GET传参pyaload:
?shiyan=&flag= 或者说?shiyan=&flag
这样在程序中会有两个为空的变量$shiyan和$flag,而$flag=空 则覆盖了上面的$flag中的值,由于都是空的所以为真则得到flag。
注意
虽然传入的flag参数没有赋值,但是利用isset进行判断时,为true
<?php
$flag=null;
if(isset($flag)){
echo "flag 已经设置","<br>";
}else{
echo "flag还未设置","<br>";
}
echo "开始传参","<br>";
extract($_GET);
if(isset($flag)){
echo "flag 已经设置","<br>";
}else{
echo "flag还未设置";
}
若使用 isset() 测试一个被设置成 NULL 的变量,将返回 FALSE。同时要注意的是 null 字符("\0")并不等同于 PHP 的 NULL 常量,故空字符串作为isset的参数时,返回的是true