搜索

[20974] 2020-04-22_【CTFweb入门-理论基础篇】php弱类型总结

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-04-22_【CTFweb入门-理论基础篇】php弱类型总结 【 C T F   w e b 入 门 - 理 论 基 础 篇 】 p h p   弱 类 型 总 结 L e m o n S e c   2 0 2 0 - 0 4 - 2 2 x 0 1   前 言 最 近 C T F 比 赛 ， 不 止 一 次 的 出 了 p h p 弱 类 型 的 题 目 ， 借 此 想 总 结 一 下 关 于 p h p 弱 类 型 以 及 绕 过 方 式 0 x 0 2   知 识 介 绍 p h p 中 有 两 种 比 较 的 符 号   = =   与   = = = 1   < ? p h p 2   $ a   =   $ b   ; 3   $ a = = = $ b   ; 4   ? > = = =   在 进 行 比 较 的 时 候 ， 会 先 判 断 两 种 字 符 串 的 类 型 是 否 相 等 ， 再 比 较 = =   在 进 行 比 较 的 时 候 ， 会 先 将 字 符 串 类 型 转 化 成 相 同 ， 再 比 较 如 果 比 较 一 个 数 字 和 字 符 串 或 者 比 较 涉 及 到 数 字 内 容 的 字 符 串 ， 则 字 符 串 会 被 转 换 成 数 值 并 且 比 较 按 照 数 值 来 进 行 这 里 明 确 了 说 如 果 一 个 数 值 和 字 符 串 进 行 比 较 的 时 候 ， 会 将 字 符 串 转 换 成 数 值 这 里 明 确 了 说 如 果 一 个 数 值 和 字 符 串 进 行 比 较 的 时 候 ， 会 将 字 符 串 转 换 成 数 值 1   < ? p h p 2   v a r _ d u m p ( " a d m i n " = = 0 ) ;     / / t r u e 3   v a r _ d u m p ( " 1 a d m i n " = = 1 ) ;   / / t r u e 4   v a r _ d u m p ( " a d m i n 1 " = = 1 )   / / f a l s e 5   v a r _ d u m p ( " a d m i n 1 " = = 0 )   / / t r u e 6   v a r _ d u m p ( " 0 e 1 2 3 4 5 6 " = = " 0 e 4 4 5 6 7 8 9 " ) ;   / / t r u e 7   ? >     / / 上 述 代 码 可 自 行 测 试 1   观 察 上 述 代 码 ， " a d m i n " = = 0   比 较 的 时 候 ， 会 将 a d m i n 转 化 成 数 值 ， 强 制 转 化 , 由 于 a d m i n 是 字 符 串 ， 转 化 的 结 果 是 0 自 然 和 0 相 等 2   " 1 a d m i n " = = 1   比 较 的 时 候 会 将 1 a d m i n 转 化 成 数 值 , 结 果 为 1 ， 而 “ a d m i n 1 “ = = 1   却 等 于 错 误 ， 也 就 是 " a d m i n 1 " 被 转 化 成 了 0 , 为 什 么 呢 ？ ？ 3   " 0 e 1 2 3 4 5 6 " = = " 0 e 4 5 6 7 8 9 " 相 互 比 较 的 时 候 ， 会 将 0 e 这 类 字 符 串 识 别 为 科 学 技 术 法 的 数 字 ， 0 的 无 论 多 少 次 方 都 是 零 ， 所 以 相 等 对 于 上 述 的 问 题 我 查 了 p h p 手 册 当 一 个 字 符 串 欸 当 作 一 个 数 值 来 取 值 ， 其 结 果 和 类 型 如 下 : 如 果 该 字 符 串 没 有 包 含 ' . ' , ' e ' , ' E ' 并 且 其 数 值 值 在 整 形 的 范 围 之 内 该 字 符 串 被 当 作 i n t 来 取 值 ， 其 他 所 有 情 况 下 都 被 作 为 f l o a t 来 取 值 ， 该 字 符 串 的 开 始 部 分 决 定 了 它 的 值 ， 如 果 该 字 符 串 以 合 法 的 数 值 开 始 ， 则 使 用 该 数 值 ， 否 则 其 值 为 0 。 所 以 就 解 释 了 " a d m i n 1 " = = 1   = > F a l s e   的 原 因 0 x 0 3   实 战 m d 5 绕 过 ( H a s h 比 较 缺 陷 ) 1   < ? p h p
  2   i f   ( i s s e t ( $ _ G E T [ ' U s e r n a m e ' ] )   & &   i s s e t ( $ _ G E T [ ' p a s s w o r d ' ] ) )   {   3           $ l o g i n e d   =   t r u e ;   4           $ U s e r n a m e   =   $ _ G E T [ ' U s e r n a m e ' ] ;   5           $ p a s s w o r d   =   $ _ G E T [ ' p a s s w o r d ' ] ;   6     7             i f   ( ! c t y p e _ a l p h a ( $ U s e r n a m e ) )   { $ l o g i n e d   =   f a l s e ; }   8             i f   ( ! i s _ n u m e r i c ( $ p a s s w o r d )   )   { $ l o g i n e d   =   f a l s e ; }   9             i f   ( m d 5 ( $ U s e r n a m e )   ! =   m d 5 ( $ p a s s w o r d ) )   { $ l o g i n e d   =   f a l s e ; } 1 0             i f   ( $ l o g i n e d ) { 1 1           e c h o   " s u c c e s s f u l " ; 1 2               } e l s e { 1 3                         e c h o   " l o g i n   f a i l e d ! " ; 1 4                   } 1 5           } 1 6   ? >         题 目 大 意 是 要 输 入 一 个 字 符 串 和 数 字 类 型 ， 并 且 他 们 的 m d 5 值 相 等 ， 就 可 以 成 功 执 行 下 一 步 语 句   介 绍 一 批 m d 5 开 头 是 0 e 的 字 符 串   上 文 提 到 过 ， 0 e 在 比 较 的 时 候 会 将 其 视 作 为 科 学 计 数 法 ， 所 以 无 论 在 比 较 的 时 候 会 将 其 视 作 为 科 学 计 数 法 ， 所 以 无 论 0 e 后 面 是 什 么 ， 后 面 是 什 么 ， 0 的 的 多 少 次 方 还 是 多 少 次 方 还 是 0 。 m d 5 ( ' 2 4 0 6 1 0 7 0 8 ' )   = =   m d 5 ( ' Q N K C D Z O ' ) 成 功 绕 过 ! Q N K C D Z O 0 e 8 3 0 4 0 0 4 5 1 9 9 3 4 9 4 0 5 8 0 2 4 2 1 9 9 0 3 3 9 1 s 8 7 8 9 2 6 1 9 9 a 0 e 5 4 5 9 9 3 2 7 4 5 1 7 7 0 9 0 3 4 3 2 8 8 5 5 8 4 1 0 2 0     s 1 5 5 9 6 4 6 7 1 a 0 e 3 4 2 7 6 8 4 1 6 8 2 2 4 5 1 5 2 4 9 7 4 1 1 7 2 5 4 4 6 9     s 2 1 4 5 8 7 3 8 7 a 0 e 8 4 8 2 4 0 4 4 8 8 3 0 5 3 7 9 2 4 4 6 5 8 6 5 6 1 1 9 0 4     s 2 1 4 5 8 7 3 8 7 a 0 e 8 4 8 2 4 0 4 4 8 8 3 0 5 3 7 9 2 4 4 6 5 8 6 5 6 1 1 9 0 4     s 8 7 8 9 2 6 1 9 9 a 0 e 5 4 5 9 9 3 2 7 4 5 1 7 7 0 9 0 3 4 3 2 8 8 5 5 8 4 1 0 2 0     s 1 0 9 1 2 2 1 2 0 0 a 0 e 9 4 0 6 2 4 2 1 7 8 5 6 5 6 1 5 5 7 8 1 6 3 2 7 3 8 4 6 7 5
    s 1 8 8 5 2 0 7 1 5 4 a 0 e 5 0 9 3 6 7 2 1 3 4 1 8 2 0 6 7 0 0 8 4 2 0 0 8 7 6 3 5 1 4 j s o n 绕 过 < ? p h p i f   ( i s s e t ( $ _ P O S T [ ' m e s s a g e ' ] ) )   {         $ m e s s a g e   =   j s o n _ d e c o d e ( $ _ P O S T [ ' m e s s a g e ' ] ) ;         $ k e y   = " * * * * * * * * * " ;         i f   ( $ m e s s a g e - > k e y   = =   $ k e y )   {                 e c h o   " f l a g " ;         }           e l s e   {                 e c h o   " f a i l " ;         }   }   e l s e {           e c h o   " ~ ~ ~ ~ " ;   } ? > 输 入 一 个 j s o n 类 型 的 字 符 串 ， j s o n _ d e c o d e 函 数 解 密 成 一 个 数 组 ， 判 断 数 组 中 k e y 的 值 是 否 等 于   $ k e y 的 值 ， 但 是 $ k e y 的 值 我 们 不 知 道 ， 但 是 可 以 利 用 但 是 可 以 利 用 0 = = " a d m i n " 这 种 形 式 绕 过 这 种 形 式 绕 过 最 终 最 终 p a y l o a d   m e s s a g e = { " k e y " : 0 } a r r a y _ s e a r c h   i s _ a r r a y 绕 过   1   < ? p h p   2   i f ( ! i s _ a r r a y ( $ _ G E T [ ' t e s t ' ] ) ) { e x i t ( ) ; }   3   $ t e s t = $ _ G E T [ ' t e s t ' ] ;   4   f o r ( $ i = 0 ; $ i < c o u n t ( $ t e s t ) ; $ i + + ) {   5           i f ( $ t e s t [ $ i ] = = = " a d m i n " ) {   6                   e c h o   " e r r o r " ;   7                   e x i t ( ) ;   8           }   9           $ t e s t [ $ i ] = i n t v a l ( $ t e s t [ $ i ] ) ; 1 0   } 1 1   i f ( a r r a y _ s e a r c h ( " a d m i n " , $ t e s t ) = = = 0 ) { 1 2           e c h o   " f l a g " ; 1 3   } 1 4   e l s e {
1 5           e c h o   " f a l s e " ; 1 6   } 1 7   ? > 上 面 是 自 己 写 的 一 个 ， 先 判 断 传 入 的 是 不 是 数 组 ， 然 后 循 环 遍 历 数 组 中 的 每 个 值 ， 并 且 数 组 中 的 每 个 值 不 能 和 a d m i n 相 等 ， 并 且 将 每 个 值 转 化 为 i n t 类 型 ， 再 判 断 传 入 的 数 组 是 否 有 a d m i n ， 有 则 返 回 f l a g p a y l o a d   t e s t [ ] = 0 可 以 绕 过 下 面 是 官 方 手 册 对 a r r a y _ s e a r c h 的 介 绍 m i x e d   a r r a y _ s e a r c h   (   m i x e d   $ n e e d l e   ,   a r r a y   $ h a y s t a c k   [ ,   b o o l   $ s t r i c t   =   f a l s e   ]   ) $ n e e d l e ， $ h a y s t a c k 必 需 ， $ s t r i c t 可 选     函 数 判 断 $ h a y s t a c k 中 的 值 是 存 在 $ n e e d l e ， 存 在 则 返 回 该 值 的 键 值   第 三 个 参 数 默 认 为 f a l s e ， 如 果 设 置 为 t r u e 则 会 进 行 严 格 过 滤 。 1   < ? p h p 2   $ a = a r r a y ( 0 , 1 ) ; 3   v a r _ d u m p ( a r r a y _ s e a r c h ( " a d m i n " , $ a ) ) ;         / /   i n t ( 0 )   = >   返 回 键 值 0 4   v a r _ d u m p ( a r r a y _ s e a c h ( " 1 a d m i n " , $ a ) ) ;       / /   i n t ( 1 )   = = > 返 回 键 值 1 5   ? > a r r a y _ s e a r c h 函 数   类 似 于 = =   也 就 是 $ a = = " a d m i n "   当 然 是 $ a = 0     当 然 如 果 第 三 个 参 数 为 t r u e 则 就 不 能 绕 过 s t r c m p 漏 洞 绕 过   p h p   - v   < 5 . 3   1   < ? p h p   2           $ p a s s w o r d = " * * * * * * * * * * * * * * * "   3             i f ( i s s e t ( $ _ P O S T [ ' p a s s w o r d ' ] ) ) {   4     5                   i f   ( s t r c m p ( $ _ P O S T [ ' p a s s w o r d ' ] ,   $ p a s s w o r d )   = =   0 )   {   6                           e c h o   " R i g h t ! ! ! l o g i n   s u c c e s s " ; n   7                           e x i t ( ) ;   8                   }   e l s e   {   9                           e c h o   " W r o n g   p a s s w o r d . . " ; 1 0                   } 1 1   ? > s t r c m p 是 比 较 两 个 字 符 串 ， 如 果 s t r 1 < s t r 2   则 返 回 < 0   如 果 s t r 1 大 于 s t r 2 返 回 > 0   如 果 两 者 相 等   返 回 0 我 们 是 不 知 道 $ p a s s w o r d 的 值 的 ， 题 目 要 求 s t r c m p 判 断 的 接 受 的 值 和 $ p a s s w o r d 必 需 相 等 ， s t r c m p 传 入 的 期 望 类 型 是 字 符 串 类 型 ， 如 果 传 入 的 是 个 数 组 会 怎 么 样 呢 我 们 传 入   p a s s w o r d [ ] = x x x   可 以 绕 过   是 因 为 函 数 接 受 到 了 不 符 合 的 类 型 ， 将 发 生 错 误 ， 但 是 还 是 判 断 其 相 等 p a y l o a d :   p a s s w o r d [ ] = x x x s w i t c h 绕 过   1   < ? p h p   2   $ a = " 4 a d m i n " ;
  3   s w i t c h   ( $ a )   {   4           c a s e   1 :   5                   e c h o   " f a i l 1 " ;   6                   b r e a k ;   7           c a s e   2 :   8                   e c h o   " f a i l 2 " ;   9                   b r e a k ; 1 0           c a s e   3 : 1 1                   e c h o   " f a i l 3 " ; 1 2                   b r e a k ; 1 3           c a s e   4 : 1 4                   e c h o   " s u c e s s " ;     / / 结 果 输 出 s u c c e s s ; 1 5                   b r e a k ; 1 6           d e f a u l t : 1 7                   e c h o   " f a i l a l l " ; 1 8                   b r e a k ; 1 9   } 2 0   ? > 这 种 原 理 和 前 面 的 类 似 ， 就 不 详 细 解 释 了 0 x 0 4   总 结 这 些 p h p 弱 类 型 只 是 冰 山 一 角   上 述 验 证 了 代 码 审 计 的 重 要 性 转 载 自 ： h t t p s : / / w w w . c n b l o g s . c o m / M r s m 1 t h / p / 6 7 4 5 5 3 2 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理