变量覆盖漏洞原理与防范措施.pdfVIP

什么是变量覆盖漏洞

变量覆盖是指用我们自定义的参数值替换程序原有的变量值，通常变量覆盖漏洞需要结合程序的其

他功能才能实现完整的。变量覆盖漏洞大多数由函数使用不当导致,$$使用不当,extract()函数

___

使用不当,parsestr()函数使用不当,importrequestvariab()使用不当，开启了全局变量

等。

什么是$$

这种写法称为可变变量，一个可变变量获取了一个普通变量的值作为这个可变变量的变量名。

extract()函数是什么呢

extract()

函数从数组中将变量导入到当前的符号表。该函数使用数组键名作为变

量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创

建对应的一个变量。该函数返回成功设置的变量数目。

_

parsestr()函数又是什么意思呢

_

parsestr

函数的作用就是解析字符串并为变量，在变量之前不会验证当前变量是否

存在，所以直接覆盖已有变量

注意:如果未设置数组参数,由该函数设置的变量将覆盖已存在的同名变量。

什么是变量覆盖

变量覆盖指的是用我们自定义的参数值替换程序原有的变量值，一般变量覆盖