打开url出现一段代码:
flag In the variable ! <?php //提示flag在变量中
error_reporting(0); //关闭错误显示
include "flag1.php"; //包含flag1.php
highlight_file(__file__); //代码高亮
if(isset($_GET['args'])){ //判断args参数是否存在
$args = $_GET['args']; //将get方法获取的参数“args”赋值给args变量
if(!preg_match("/^\w+$/",$args)){ //正则匹配,/^开始,\w表示任意一个单词字符即[a-zA-Z0-9_] ,+将前面的字符匹配一次或多次,$/结尾
die("args error!"); 匹配失败提示
}
eval("var_dump($$args);"); //将字符串作为php代码执行结尾加分号, var_dump()函数 显示关于一个或多个表达式的结构信息,包括表达式的类型与 值。数组将递归展开值,通过缩进显示其结构。$$args 可以理解为$($args)
}
?>
注:php中的变量可以作为另一个变量的变量名:
<?php
$a = 'b';
$b = 'hello';
eval("var_dump($$a);");
?>
此段代码输出:hello
因为提示flag in the variable!
想到一个包含了全部变量的全局组合数组“$GLOBALS”
$GLOBALS
— 引用全局作用域中可用的全部变量
说明
一个包含了全部变量的全局组合数组。变量的名字就是数组的键。
范例
Example #1 $GLOBALS 范例
<?php
function test() {
$foo = "local variable";
echo '$foo in global scope: ' . $GLOBALS["foo"] . "\n";
echo '$foo in current scope: ' . $foo . "\n";
}
$foo = "Example content";
test();
?>
以上例程的输出类似于:
$foo in global scope: Example content
$foo in current scope: local variable
注释
Note:
“Superglobal”也称为自动化的全局变量。这就表示其在脚本的所有作用域中都是可用的。不需要在函数或方法中用 global $variable; 来访问它。
Note: 变量可用性
与所有其他超全局变量不同,$GLOBALS在PHP中总是可用的。
构造payload :?args=GLOBALS
var_dump列出所有的变量。