web——变量1(60)——Bugku

Myth丶恋晨 2023-02-27 15:53 15阅读 0赞

## 0×00 靶场链接 ##

[http://123.206.87.240:8004/index1.php][http_123.206.87.240_8004_index1.php]

## 0×01 题目描述 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70][]

给出了一段php代码，提示flag in the variable! 即flag在变量当中

## 0×02 解题过程 ##

<?php  
    
    error_reporting(0); 
    include "flag1.php";  //包含文件flag1.php
    highlight_file(__file__);//对文件进行语法高亮显示
    if(isset($_GET['args'])){  //判断是否传入用GET方法得到变量args
        $args = $_GET['args'];  //将GET到的值赋给args
        if(!preg_match("/^\w+$/",$args)){ //正则表达式字符匹配
            die("args error!");  //不符合字符匹配则无法显示flag
        }
        eval("var_dump($$args);"); //var_dump()用于输出变量,eval()将文本变成命令行执行
    }
    ?>

看正则表达式

preg_match("/^\w+$/",$args)

一前一后两个'/'表示正则表达式的框框，'^'表示开始，'$'表示结束

中间'\\w'表示任意一个字母或数字或下划线，也就是 A~Z,a~z,0~9,\_ 中任意一个

'+'表示表达式至少出现1次，相当于，比如a+b可以匹配为ab,aab,aaab,aaaab........

所以该正则表达式的意思就是匹配所有

eval("var_dump($$args);");

这一行$$args可以理解为$($args)，就是取两次

这一题既然正则匹配需要匹配所有，那我们就要用到一个变量叫做**$GLOBALS ——** 引用全局作用域中可用的全部变量，一个包含了全部变量的全局组合数组。

PHP在名为$GLOBALS\[index\]的数组中存储了所有全局变量，变量的名字就是数组的键。

所以直接构造?args=GLOBALS,那么传入后返回的eval语句为

eval("var_dump($GLOBALS));

页面跳转

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 1][]

得到flag

## 0×03 知识点 ##

[$GLOBALS][GLOBALS]

[http_123.206.87.240_8004_index1.php]: http://123.206.87.240:8004/index1.php
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70]: /images/20230209/6e6a7a75a49e4a83b6b59153d9d3840c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzk2NTU5Nw_size_16_color_FFFFFF_t_70 1]: /images/20230209/bb70979e708a4ff9bb256ef763d69676.png
[GLOBALS]: https://www.php.net/manual/zh/reserved.variables.globals.php