buuctf Mark loves cat

老young可爱

已于 2022-03-29 20:26:28 修改

阅读量1.1k

点赞数

CC 4.0 BY-SA版权

分类专栏： web 文章标签： php

于 2022-03-29 20:25:02 首次发布

本文链接：https://blog.csdn.net/qq_52671379/article/details/123830494

web 专栏收录该内容

43 篇文章

订阅专栏

本文介绍了一种利用网站.git文件泄露的方式，通过GitHack.py工具下载源码，并审计PHP文件来寻找并输出隐藏的Flag。文章详细分析了如何通过变量覆盖漏洞实现目标。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

buuctf Mark loves cat

打开是个静态页面，源码也无任何有用信息
在这里插入图片描述

dirsearch扫描后发现.git泄露
GitHack.py下载得到两个php文件，接下来就是代码审计：
flag.php:

<?php
$flag = file_get_contents('/flag');

index.php:

<?php
include 'flag.php';

$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);
}

echo "the flag is: ".$flag;

审计分析

第1条foreach语句，将POST的参数进行变量覆盖
第2条foreach语句，将GET的参数进行变量覆盖，与第1条有点区别是第1个的键值是 $y, 第 2 个的键值是$ $y 其中有两个能利用变量覆盖输出 f l a g, 也就是说有两种方法第二个 i f 语句中可以看到这里是输出的$ yds变量，那么我们就要通过变量覆盖达到 $y d s =$ flag的效果，GET传参yds=flag，在第二个foreach语句中，首先是 $x = y d s ，$ y=flag，经过 $x =$ y也就变成了 $y d s =$ flag
就可以利用exit( $y d s) 将原来的$ flag输出