变量覆盖漏洞----$$-创新互联

变量覆盖漏洞
经常引发变量覆盖漏洞的函数有：extract(),parsestr()和importrequestvariables()和$$(可变变量)

$$可变变量引起的变量覆盖漏洞
一、我们先来查看源代码进行分析

1、Include 调用了flag.php文件
2、$_200,$403 定义两个参数，以及参数值。
3、接着是两个判断语句，判断访问页面的方法是否为post方法和有没有参数flag。
4、再接着两个foreach函数遍历数组函数，这里就是把我们用get方法传输的数据当做数组进行遍历，并将遍历的参数赋值给key，将参数值复制给value。
5、还有一个if判断语句，判断用post方法传输的数据是不是和$flag的值相同，如果相同，输出flag。
6、最后输出$200的内容。

二、从源码文件中可以看出，要想获得flag，你必须知道原来的flag，那是不可能的。
这个时候我们就可以利用变量覆盖漏洞。
1、我们可以看到在第一个数组

foreach ($_GET as $key => $value)
$$key = $$value

这个遍历中出现$$key = $$value，这里将键和值又当做变量来使用。就这个题目来说，我们用get方法传递：_200=flag,经过$$key = $$value的处理后，就会变为$_200=$flag，这样就会将原来的$_200的值覆盖掉，换成$flag的值
3、第二个数组遍历

foreach ($_POST as $key => $value)
    $$key = $value;

这个遍历中出现$$key = $value，这里将只是将数组键当做下一个变量，将数组的值当做这个$$key的值。例如post方法传入flag=abc，则处理后变成$flag=abc。这样就造成将我们需要获取的flag的值给覆盖掉了。

三、通过多重分析，我们可先将$flag的值通过第一个数组遍历赋值给$_200,然后通过die($_200)输出出来，不过同时我们应该满足源码的判断条件，通过post方法传递flag的值。这里我们已经将flag的值给了$_200所以不用再担心将flag的值覆盖掉，可以随便输入。

四、所以我们的payload是：
Get方法传输：?_200=flag
Post方法传输：flag=abcde
五、验证结果：

因为是复现题目，flag有所差别。

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。