php extract 变量覆盖,extract变量覆盖

桃扇骨 2022-11-12 12:53 156阅读 0赞

Bugkuctf题库中的一道代码审计题，通过巧妙利用file\_get\_contents函数特性来绕过extract变量覆盖

源代码如下：

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16<?php

$flag='../readme.txt';

extract($\_GET);

if(isset($shiyan))\{

@$content=trim(file\_get\_contents($flag));

if($shiyan == $content)\{

echo 'flag\{xxx\}';

\}

else\{

echo 'oh,no';

\}

\}

?>

首先先弄明白几个函数：

extract:该函数将数组的键名作为变量名，键名对应的键值作为对应的变量值，返回值为设置成功的变量个数

也就是说这里的extract($\_GET)将我们GET的参数名作为变量名，参数值作为变量值

例子如下：

1

2

3

4

5

6

7

8

9

10

11

12<?php

if(isset($\_GET\['shiyan'\]) $$ isset($\_GET\['flag'\]))\{

$a=extract($\_GET);

echo '$a:'.$a;

echo '  
';

echo '$shiyan:'.$shiyan;

echo '  
';

echo '$flag:'.$flag;

\}

?>

输出结果：

![87d72614d2432e42db7e3001c28c85c6.png][]

成功设置了两个变量，$shiyan和$flag，所以$a=2

file\_get\_contents：将文件内容作为字符串输出

例子如下：

1

2

3

4

5

6

7<?php

$flag='../readme.txt';

$content=file\_get\_contents($flag);

echo $content;

?>

输出结果

![3284a71d62aa2495ec9b37513884dfe6.png][]

这里注意file\_get\_contents函数里的参数是$flag，也就是说我们GET进来的参数flag值会将之前的flag值覆盖掉，从而造成变量覆盖，而我们输入的flag值如果不为文件名，函数执行错误，$content会被赋值为空

例子如下：

1

2

3

4

5

6

7

8

9

10<?php

$flag='../readme.txt';

if(isset($\_GET\['flag'\]))\{

extract($\_GET);

@$content=file\_get\_contents($flag);

echo $content.'1';

\}

?>

输出结果：

![9d303d4e89777f6b7a66417ccc75777d.png][]

要得到最终要的flag，就必须要让变量content值等于变量shiyan的值

所以我们可以让shiyan值也为空，这样flag值任意输入，只要不为文件名，就一定相等

![631ff7eb6d148a3f6cf1f8f1e386ddaf.png][]

另外，即使shiyan值为空，isset($shiyan)也是返回true的

1

2

3

4

5

6

7

8<?php

$shiyan="";

if(isset($shiyan))\{

echo "11";

\}

?>

输出结果：

![2d75b1f56d41905c58f8694f5d5717af.png][]

[87d72614d2432e42db7e3001c28c85c6.png]: /images/20221022/efc46847fbdb40fda40589a7ba8b2ef5.png
[3284a71d62aa2495ec9b37513884dfe6.png]: /images/20221022/f76ff96ddaa140748c18dc4f87436ebe.png
[9d303d4e89777f6b7a66417ccc75777d.png]: /images/20221022/ba15a6bf497245678003d312aedd6179.png
[631ff7eb6d148a3f6cf1f8f1e386ddaf.png]: /images/20221022/3d204bb0aeca4b41a978b29b6c813e3a.png
[2d75b1f56d41905c58f8694f5d5717af.png]: /images/20221022/e67659f8e62746bba6fcafd3d1e3be66.png

发表评论取消回复

表情：

评论列表（有 0 条评论，156人围观）

还没有评论，来说两句吧...

相关阅读

相关 tf.extract_image_patches以及pytorch的extract_patches

前言由于最近一直在研究上下文注意力机制，当对特征图FM提取patch，需要用到函数extract_image_patches，特此记录一下。温馨提示：提笔计算一下，更容易...

心已赠人/ 2024年05月24日 02:24/ 0 赞/ 20 阅读

相关【Go】goroutine并发常见的变量覆盖案例

------------------- 越过山丘遇见六十岁的我拄着一根白手杖在听鸟儿歌唱我问他幸福与否他笑着摆了摆手在他身边围绕着一...

落日映苍穹つ/ 2024年04月17日 11:21/ 0 赞/ 43 阅读

相关变量覆盖

目录定义用法 1.$$ 2.extract()函数定义

「爱情、让人受尽委屈。」/ 2022年12月01日 12:24/ 0 赞/ 126 阅读

相关 php extract 变量覆盖,extract变量覆盖

Bugkuctf题库中的一道代码审计题，通过巧妙利用file\_get\_contents函数特性来绕过extract变量覆盖源代码如下： 1 2 3 4 5

桃扇骨/ 2022年11月12日 12:53/ 0 赞/ 157 阅读

相关 java实例变量可以被覆盖吗_Java继承-实例变量覆盖

小编典典你可以隐藏字段，但不能覆盖它。隐藏意味着字段的值取决于所访问的类。子类中的字段将“隐藏”超类中的字段，但是两者都存在。隐藏字段是非常糟糕的做法，但是可以：

旧城等待，/ 2022年11月12日 04:11/ 0 赞/ 178 阅读

相关 Java基础：成员变量的继承与覆盖

1.前言最近在研究Java多态时，发现子类通过继承父类来实现Java中的多态。子类可以继承父类的成员方法和成员变量。子类中如果有同名的成员方法，并且方法的参数和返回值一

野性酷女/ 2022年04月05日 15:17/ 0 赞/ 217 阅读

相关 EXTRACT截取时间

EXTRACT截取systimestamp的小时大家都知道systimestamp函数是返回本机数据库上当前系统日期和时间。用EXTRACT截取systimest

我会带着你远行/ 2022年03月12日 01:48/ 0 赞/ 257 阅读

相关 parse_str函数变量覆盖缺陷

理论 `parse_str`函数的作用就是解析字符串并注册成变量，在注册变量之前不会验证当前变量是否存在，所以直接覆盖掉已有变量。 void parse_str

青旅半醒/ 2022年02月03日 09:19/ 0 赞/ 223 阅读

相关 php实现矩形覆盖

php实现矩形覆盖一、总结很简单的斐波那契数列二、php实现矩形覆盖题目描述：我们可以用2\1的小矩形横着或者竖着去覆盖更大的矩形。请

你的名字/ 2021年09月30日 16:40/ 0 赞/ 313 阅读

相关 JAVA: 子类“覆盖”父类的成员变量

问题描述 JAVA本身并不提供子类“覆盖”父类成员变量的方法，而事实上，从面相对象的角度上来说，子类也不应当可以“覆盖”父类的成员变量。但有时候我们就是有这种需求，比如：

电玩女神/ 2021年06月22日 15:36/ 0 赞/ 503 阅读