[BJDCTF2020]Mark loves cat详细解法与思路

前言
文章所涉及的资料来自互联网整理和个人总结，意在于个人学习和经验汇总，如有什么地方侵权，请联系本人删除，谢谢！本文仅用于学习与交流，不得用于非法用途！
知识点：
主要考点是$$会导致变量覆盖
题目：
dirsearch扫描一下，发现/.git，用githack获取源码

include 'flag.php';
$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){	//GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){	//GET和POST其中之一必须传flag
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){	//GET和POST传flag,必须不能是flag=flag
    exit($is);
}

echo "the flag is: ".$flag;
?>

审计代码后，发现想要正常按照题目的流程拿到flag基本不可能，题目的提示也是骗人的。

先整理一下思路，既然不能正常流程获取flag，看到$$能够覆盖变量，就应该从那些作为exit()函数供用的参数下手，化为己用，让它能够输出flag，应该就是这题的标准解法。

先看这串代码

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){	//GET方式传flag只能传一个flag=flag
        exit($handsome);
    }
}

如果指望让$handsome能够输出flag，应该是不可能的了。因为需要满足的条件为：
在GET找到名为flag的键，与在GET所有的键强比较，需相等
且
让GET中所有的键与字符串flag强比较，需不相等

再看看这段代码

if(!isset($_GET['flag']) && !isset($_POST['flag'])){	//GET和POST其中之一必须传flag
    exit($yds);
}

输出$yds需要满足的条件：
GET中需要没设置有名为flag的键
且
POST中需要没设置有名为flag的键

相比第一个变量$handsome来说，变量$yds更容易操纵！那就先尝试着getflag。
GET传入yds=flag，到$$x = $$y时，即为$yds=$flag，此时，$yds的值等于flag{xxxxxx}，且满足GET与POST没有flag键，输出flag。

这道题虽然看起来非常绕，但把思路捋清了后，会显的十分简单。