PHP中的变量覆盖漏洞深入解析

1.extract()变量覆盖

1.extract()

extract() 函数从数组中将变量导入到当前的符号表。

该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。

该函数返回成功设置的变量数目。

参考引用:

eg：

2.ctf中extract()导致的变量覆盖

我们大致分析是要求我们get传参进去值会经过extract()函数下来会有两个if 第一个if判断 ceshi这个变量是否存在 存在则继续执行if里面的

使用file_get_contents()读取flag变量里面的文件传递给content变量 之后再进行判断传进来ceshi变量的值等不等于$content如果等于则打印出flag教育名著读书心得!

这里我们构造因为通过extract()函数我们传进的值会变成一个变量 例如我们get传入 ceshi=1 则会存在$ceshi=1 所以我们构造get传参pyaload:

get传参payload:$ceshi=&$flag=

这样再程序中会有两个为空的变量而$flag=空 则覆盖了上面的$flag中的值 这样进行判断 都是空的所以为真则得到flag

3.漏洞修复

不要使用。。。。
参考 官方文档 修改extract_rules 里面的值为extr_skip eg:

2.php动态变量覆盖

1.动态变量覆盖

php动态变量是指一个变量名的变量名可以动态的设置和使用，一个变量获取另一个变量的值作为这个变量的变量名。

ctf中的动态变量覆盖

ctf中的动态变量覆盖

3.漏洞修复

避免使用这个

3.par_str()变量覆盖

1.par_str()

par_str() 函数把查询字符串解析到变量中。

注释：如果未设置 array 参数，由该函数设置的变量将覆盖已存在的同名变量。

注释：php.ini 文件中的 magic_quotes_gpc 设置影响该函数的输出。如果已启用，那么在 par_str() 解析之前，变量会被 addslashes() 转换。

参考引用:

eg:

2.ctf中par_str()导致的变量覆盖

分析代码 判断get传入的id值是否为空为空的话输出源码终止程序，否则的话则接收id值 经过par_str() 然后呢if判断 $a[0] 的值要不等于qnkcdzo

但$a[0]的md5值要等于qnkcdzo这里可以采用hash比较缺陷来解决这一步 下来就是传入变量覆盖$a[0]的值 因为有par_str所以我们可以构造payload:

p大雪节气电算化会计ayload:http://127.0.0.1/test.php?id=a[0]=s878926199a

3.漏洞修复

为了防止变量覆盖，尽量使用指定输出变量方式

4.import_request_variables()变量覆盖

1.import_request_variables()

(php 4 >= 4.1.0, php 5 < 5.4.0)

import_request_variables—将 get／post／cookie 变量导入到全局作用域中

将 get／post／cookie 变量导入到全局作用域中。如果你禁止了，但又想用到一些全局变量，那么此函数就很有用。

参考引用:

2.ctf中import_request_variables()导致的变量覆盖

3.漏洞修复

尽量不要使用….

5.php全局变量浙本覆osd盖

1.register_globals

当register_globals全局变量设置开启时，传递过来的值会被直接注册为全局变量而使用，这会造成全局变量覆盖

在php5.3之前 默认开启 php5.3默认关闭 php5.6及5.7已经被移除

2.ctf中全局变量覆盖

测试环境:php5.2.17

3.漏洞修复

关闭register_globals=off 或者使用5.6以上版本。。

到此这篇关于php中的变量覆盖漏洞深入解析的文章就介绍到这了,更多相关php中的变量覆盖漏洞内容请搜索www.887551.com以前的文章或继续浏览下面的相关文章希望大家以后多多支持www.887551.com！