建站
咨詢
售后
建站咨詢
新聞中心
變量覆蓋漏洞
經(jīng)常引發(fā)變量覆蓋漏洞的函數(shù)有：extract(),parsestr()和importrequestvariables()和$$(可變變量)
$$可變變量引起的變量覆蓋漏洞
一、我們先來查看源代碼進行分析
1、Include 調(diào)用了flag.php文件
2、$_200,$403 定義兩個參數(shù)，以及參數(shù)值。
3、接著是兩個判斷語句，判斷訪問頁面的方法是否為post方法和有沒有參數(shù)flag。
4、再接著兩個foreach函數(shù)遍歷數(shù)組函數(shù)，這里就是把我們用get方法傳輸?shù)臄?shù)據(jù)當做數(shù)組進行遍歷，并將遍歷的參數(shù)賦值給key，將參數(shù)值復(fù)制給value。
5、還有一個if判斷語句，判斷用post方法傳輸?shù)臄?shù)據(jù)是不是和$flag的值相同，如果相同，輸出flag。
6、最后輸出$200的內(nèi)容。
二、從源碼文件中可以看出，要想獲得flag，你必須知道原來的flag，那是不可能的。
這個時候我們就可以利用變量覆蓋漏洞。
1、我們可以看到在第一個數(shù)組
foreach ($_GET as $key => $value)
$$key = $$value這個遍歷中出現(xiàn)$$key = $$value，這里將鍵和值又當做變量來使用。就這個題目來說，我們用get方法傳遞：_200=flag,經(jīng)過$$key = $$value的處理后，就會變?yōu)?_200=$flag，這樣就會將原來的$_200的值覆蓋掉，換成$flag的值
3、第二個數(shù)組遍歷
foreach ($_POST as $key => $value)
$$key = $value;這個遍歷中出現(xiàn)$$key = $value，這里將只是將數(shù)組鍵當做下一個變量，將數(shù)組的值當做這個$$key的值。例如post方法傳入flag=abc，則處理后變成$flag=abc。這樣就造成將我們需要獲取的flag的值給覆蓋掉了。
三、通過多重分析，我們可先將$flag的值通過第一個數(shù)組遍歷賦值給$_200,然后通過die($_200)輸出出來，不過同時我們應(yīng)該滿足源碼的判斷條件，通過post方法傳遞flag的值。這里我們已經(jīng)將flag的值給了$_200所以不用再擔(dān)心將flag的值覆蓋掉，可以隨便輸入。
四、所以我們的payload是：
Get方法傳輸：?_200=flag
Post方法傳輸：flag=abcde
五、驗證結(jié)果：
因為是復(fù)現(xiàn)題目，flag有所差別。
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。
網(wǎng)站題目：變量覆蓋漏洞----$$-創(chuàng)新互聯(lián)
轉(zhuǎn)載來源：http://fisionsoft.com.cn/article/edddp.html
