搜索

[17969] 2021-04-17_【网络安全学习系列】-PHP漏洞函数总结

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2021-04-17_【网络安全学习系列】-PHP漏洞函数总结 【 网 络 安 全 学 习 系 列 】 - P H P 漏 洞 函 数 总 结 H a c k i n g 黑 白 红   2 0 2 1 - 0 4 - 1 7 1 . 弱 类 型 比 较 弱 类 型 比 较 2 . M D 5   c o m p a r e 漏 洞 P H P 在 处 理 哈 希 字 符 串 时 ， 如 果 利 用 ” ! = ” 或 ” = = ” 来 对 哈 希 值 进 行 比 较 ， 它 把 每 一 个 以 ” 0 x ” 开 头 的 哈 希 值 都 解 释 为 科 学 计 数 法 0 的 多 少 次 方 （ 为 0 ） ， 所 以 如 果 两 个 不 同 的 密 码 经 过 哈 希 以 后 ， 其 哈 希 值 都 是 以 ” 0 e ” 开 头 的 ， 那 么 p h p 将 会 认 为 他 们 相 同 。   常 见 的 p a y l o a d 有 0 x 0 1   m d 5 ( s t r ) 0 x 0 2   s h a 1 ( s t r )           Q N K C D Z O           2 4 0 6 1 0 7 0 8           s 8 7 8 9 2 6 1 9 9 a           s 1 5 5 9 6 4 6 7 1 a           s 2 1 4 5 8 7 3 8 7 a           s 2 1 4 5 8 7 3 8 7 a       s h a 1 ( ' a a r o Z m O k ' )               s h a 1 ( ' a a K 1 S T f Y ' )           s h a 1 ( ' a a O 8 z K Z F ' )           s h a 1 ( ' a a 3 O F F 9 m ' )
  同 时 M D 5 不 能 处 理 数 组 ， 若 有 以 下 判 断 则 可 用 数 组 绕 过 h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? a [ ] = 1 & b [ ] = 2   现 在 更 厉 害 了 … 自 从 王 小 云 教 授 提 出 了 M D 5 碰 撞 之 后 这 个 就 成 了 大 热 门 ， 现 在 网 上 流 传 一 个 诸 多 密 码 专 家 写 的 M D 5 碰 撞 程 序 ， 是 根 据 一 个 文 件 ， 然 后 填 充 内 容 生 成 两 个 M D 5 值 一 样 的 文 件 （ 有 一 定 失 败 率 其 实 ） ， 然 后 生 成 的 内 容 M D 5 就 相 同 了 … 强 网 杯 签 到 题 ， 简 直 震 惊 … 软 件 是 f a s t c o l l _ v 1 . 0 . 0 . 5 ， 自 行 下 载 吧 3 . e r e g 函 数 漏 洞 ： 函 数 漏 洞 ： 0 0 截 断 截 断 e r e g   ( " ^ [ a - z A - Z 0 - 9 ] + $ " ,   $ _ G E T [ ' p a s s w o r d ' ] )   = = =   F A L S E 字 符 串 对 比 解 析   在 这 里 如 果   $ _ G E T [ ‘ p a s s w o r d ’ ] 为 数 组 ， 则 返 回 值 为 N U L L   ， n u l l ! = f a l s e 如 果 为 1 2 3   | |   a s d   | |   1 2 a s   | |   1 2 3 % 0 0 & & & * * ， 则 返 回 值 为 t r u e   , % 0 0 直 接 截 断 其 余 为 f a l s e e r e g ( ) 区 分 大 小 写 ， e r e g i ( ) 不 区 分 大 小 写   4 . $ k e y 是 什 么 ？ 是 什 么 ？ 别 忘 记 程 序 可 以 把 变 量 本 身 的 k e y 也 当 变 量 提 取 给 函 数 处 理 。 5 . 变 量 覆 盖 主 要 涉 及 到 的 函 数 为 e x t r a c t 函 数 ， 看 个 例 子         s h a 1 ( ' a a 3 O F F 9 m ' ) i f ( @ m d 5 ( $ _ G E T [ ' a ' ] )   = =   @ m d 5 ( $ _ G E T [ ' b ' ] ) )   {           e c h o   " y e s " ;   } < ? p h p           p r i n t _ r ( @ $ _ G E T ) ;             f o r e a c h   ( $ _ G E T   A S   $ k e y   = >   $ v a l u e )           {                   p r i n t   $ k e y . " n " ;           }   ? >
e x t r a c t 可 以 接 收 数 组 ， 然 后 重 新 给 变 量 赋 值 ， 过 程 页 很 简 单 。   这 里 写 图 片 描 述 同 时 ！ P H P 的 特 性 $ 可 以 用 来 赋 值 变 量 名 也 能 导 致 变 量 覆 盖 ！ 构 造 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / t e s t . p h p ? a = 1 2   即 可 达 到 目 的 。   < ? p h p               $ a u t h   =   ' 0 ' ;               / /   这 里 可 以 覆 盖 $ a u t h 的 变 量 值           p r i n t _ r ( $ _ G E T ) ;           e c h o   " < / b r > " ;           e x t r a c t ( $ _ G E T ) ;             i f ( $ a u t h   = =   1 ) {                       e c h o   " p r i v a t e ! " ;               }   e l s e {                       e c h o   " p u b l i c ! " ;               }       ? > < ? p h p               $ a = ' h i ' ;           f o r e a c h ( $ _ G E T   a s   $ k e y   = >   $ v a l u e )   {                   e c h o   $ k e y . " < / b r > " . $ v a l u e ;                   $ $ k e y   =   $ v a l u e ;           }           p r i n t   " < / b r > " . $ a ;   ? >  
6 . s t r c m p 如 果   s t r 1   小 于   s t r 2   返 回   <   0 ； 如 果   s t r 1   大 于   s t r 2   返 回   >   0 ； 如 果 两 者 相 等 ， 返 回   0 。   先 将 两 个 参 数 先 转 换 成 s t r i n g 类 型 。   当 比 较 数 组 和 字 符 串 的 时 候 ， 返 回 是 0 。   如 果 参 数 不 是 s t r i n g 类 型 ， 直 接 r e t u r n   构 造 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / t e s t . p h p ? p a s s w o r d [ ] =   7 . i s _ n u m e r i c 无 需 多 言 ：   8 . p r e g _ m a t c h 如 果 在 进 行 正 则 表 达 式 匹 配 的 时 候 ， 没 有 限 制 字 符 串 的 开 始 和 结 束 ( ^   和   $ ) ， 则 可 以 存 在 绕 过 的 问 题 < ? p h p           $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ;           i f   ( s t r c m p ( ' x d ' , $ p a s s w o r d ) )   {             e c h o   ' N O ! ' ;           }   e l s e {                   e c h o   ' Y E S ! ' ;           }   ? > < ? p h p   e c h o   i s _ n u m e r i c ( 2 3 3 3 3 3 ) ;               #   1   e c h o   i s _ n u m e r i c ( ' 2 3 3 3 3 3 ' ) ;         #   1   e c h o   i s _ n u m e r i c ( 0 x 2 3 3 3 3 3 ) ;         #   1   e c h o   i s _ n u m e r i c ( ' 0 x 2 3 3 3 3 3 ' ) ;       #   1   e c h o   i s _ n u m e r i c ( ' 2 3 3 3 3 3 a b c ' ) ;     #   0   ? >
  9 . p a r s e _ s t r 与   p a r s e _ s t r ( )   类 似 的 函 数 还 有   m b _ p a r s e _ s t r ( ) ， p a r s e _ s t r   将 字 符 串 解 析 成 多 个 变 量 ， 如 果 参 数 s t r 是 U R L 传 递 入 的 查 询 字 符 串 （ q u e r y s t r i n g ） ， 则 将 它 解 析 为 变 量 并 设 置 到 当 前 作 用 域 。   时 变 量 覆 盖 的 一 种 1 0 . 字 符 串 比 较 < ? p h p   $ i p   =   ' a s d   1 . 1 . 1 . 1   a b c d ' ;   / /   可 以 绕 过   i f ( ! p r e g _ m a t c h ( " / ( d + ) . ( d + ) . ( d + ) . ( d + ) / " , $ i p ) )   {       d i e ( ' e r r o r ' ) ;   }   e l s e   {         e c h o ( ' k e y . . . ' ) ;   }   ? > < ? p h p           $ v a r = ' i n i t ' ;               p r i n t   $ v a r . " < / b r > " ;           p a r s e _ s t r ( $ _ S E R V E R [ ' Q U E R Y _ S T R I N G ' ] ) ;               e c h o   $ _ S E R V E R [ ' Q U E R Y _ S T R I N G ' ] . " < / b r > " ;           p r i n t   $ v a r ;   ? > < ? p h p               e c h o   0   = =   ' a '   ; / /   a   转 换 为 数 字 为   0         重 点 注 意           / /   0 x   开 头 会 被 当 成 1 6 进 制 5 4 9 7 5 5 8 1 3 8 8 的 1 6 进 制 为   0 x c c c c c c c c c           / /   十 六 进 制 与 整 数 ， 被 转 换 为 同 一 进 制 比 较           ' 0 x c c c c c c c c c '   = =   ' 5 4 9 7 5 5 8 1 3 8 8 '   ;      
  1 1 . u n s e t u n s e t ( b a r ) ; 用 来 销 毁 指 定 的 变 量 ， 如 果 变 量 b a r   包 含 在 请 求 参 数 中 ， 可 能 出 现 销 毁 一 些 变 量 而 实 现 程 序 逻 辑 绕 过 。         / /   字 符 串 在 与 数 字 比 较 前 会 自 动 转 换 为 数 字 ， 如 果 不 能 转 换 为 数 字 会 变 成 0           1   = =   ' 1 ' ;           1   = =   ' 0 1 ' ;           1 0   = =   ' 1 e 1 ' ;           ' 1 0 0 '   = =   ' 1 e 2 '   ;                       / /   十 六 进 制 数 与 带 空 格 十 六 进 制 数 ， 被 转 换 为 十 六 进 制 整 数           ' 0 x A B C d e f '     = =   '           0 x A B C d e f ' ;           e c h o   ' 0 0 1 0 e 2 '   = =   ' 1 e 3 ' ;           / /   0 e   开 头 会 被 当 成 数 字 ， 又 是 等 于   0 * 1 0 ^ x x x = 0           / /   如 果   m d 5   是 以   0 e   开 头 ， 在 做 比 较 的 时 候 ， 可 以 用 这 种 方 法 绕 过           ' 0 e 5 0 9 3 6 7 2 1 3 4 1 8 2 0 6 7 0 0 8 4 2 0 0 8 7 6 3 5 1 4 '   = =   ' 0 e 4 8 1 0 3 6 4 9 0 8 6 7 6 6 1 1 1 3 2 6 0 0 3 4 9 0 0 7 5 2 ' ;           ' 0 e 4 8 1 0 3 6 4 9 0 8 6 7 6 6 1 1 1 3 2 6 0 0 3 4 9 0 0 7 5 2 '   = =   ' 0 '   ;               v a r _ d u m p ( m d 5 ( ' 2 4 0 6 1 0 7 0 8 ' )   = =   m d 5 ( ' Q N K C D Z O ' ) ) ;           v a r _ d u m p ( m d 5 ( ' a a b g 7 X S s ' )   = =   m d 5 ( ' a a b C 9 R q S ' ) ) ;           v a r _ d u m p ( s h a 1 ( ' a a r o Z m O k ' )   = =   s h a 1 ( ' a a K 1 S T f Y ' ) ) ;           v a r _ d u m p ( s h a 1 ( ' a a O 8 z K Z F ' )   = =   s h a 1 ( ' a a 3 O F F 9 m ' ) ) ;   ? >     < ? p h p       $ _ C O N F I G [ ' e x t r a S e c u r e ' ]   =   t r u e ;   f o r e a c h ( a r r a y ( ' _ G E T ' , ' _ P O S T ' )   a s   $ m e t h o d )   {           f o r e a c h ( $ $ m e t h o d   a s   $ k e y = > $ v a l u e )   {               / /   $ k e y   = =   _ C O N F I G  
1 2 . i n t v a l ( ) i n t 转 s t r i n g ： $ v a r   =   5 ;     方 式 1 ： $ i t e m   =   ( s t r i n g ) $ v a r ;     方 式 2 ： $ i t e m   =   s t r v a l ( $ v a r ) ;   s t r i n g 转 i n t ： i n t v a l ( ) 函 数 。 v a r _ d u m p ( i n t v a l ( ' 2 ' ) )   / / 2     v a r _ d u m p ( i n t v a l ( ' 3 a b c d ' ) )   / / 3     v a r _ d u m p ( i n t v a l ( ' a b c d ' ) )   / / 0   可 以 使 用 字 符 串 - 0 转 换 ， 来 自 于 w e c h a l l 的 方 法   说 明 i n t v a l ( ) 转 换 的 时 候 ， 会 将 从 字 符 串 的 开 始 进 行 转 换 直 到 遇 到 一 个 非 数 字 的 字 符 。 即 使 出 现 无 法 转 换 的 字 符 串 ， i n t v a l ( ) 不 会 报 错 而 是 返 回 0   顺 便 说 一 下 ， i n t v a l 可 以 被 % 0 0 截 断   如 果 当 $ r e q [ ‘ n u m b e r ’ ] = 0 % 0 0 即 可 绕 过               / /   $ $ k e y   = =   $ _ C O N F I G               / /   这 个 函 数 会 把   $ _ C O N F I G   变 量 销 毁               u n s e t ( $ $ k e y ) ;           }   }   i f   ( $ _ C O N F I G [ ' e x t r a S e c u r e ' ]   = =   f a l s e )   {           e c h o   ' f l a g   { * * * * } ' ;   }   ? > i f ( $ r e q [ ' n u m b e r ' ] ! = s t r v a l ( i n t v a l ( $ r e q [ ' n u m b e r ' ] ) ) ) {             $ i n f o   =   " n u m b e r   m u s t   b e   e q u a l   t o   i t ' s   i n t e g e r ! !   " ;       }
1 3 . s w i t c h ( ) 如 果 s w i t c h 是 数 字 类 型 的 c a s e 的 判 断 时 ， s w i t c h 会 将 其 中 的 参 数 转 换 为 i n t 类 型 ， 效 果 相 当 于 i n t v a l 函 数 。 如 下 ： 1 4 . i n _ a r r a y ( ) $ a r r a y = [ 0 , 1 , 2 , ' 3 ' ] ;     v a r _ d u m p ( i n _ a r r a y ( ' a b c ' ,   $ a r r a y ) ) ;   / / t r u e     v a r _ d u m p ( i n _ a r r a y ( ' 1 b c ' ,   $ a r r a y ) ) ;   / / t r u e   在 所 有 p h p 认 为 是 i n t 的 地 方 输 入 s t r i n g ， 都 会 被 强 制 转 换 1 5 . s e r i a l i z e   和 和   u n s e r i a l i z e 漏 洞 漏 洞 这 里 我 们 先 简 单 介 绍 一 下 p h p 中 的 魔 术 方 法 （ 这 里 如 果 对 于 类 、 对 象 、 方 法 不 熟 的 先 去 学 学 吧 ） ， 即 M a g i c 方 法 ， p h p 类 可 能 会 包 含 一 < ? p h p         $ i   = " a b c " ;             s w i t c h   ( $ i )   {             c a s e   0 :             c a s e   1 :             c a s e   2 :             e c h o   " i   i s   l e s s   t h a n   3   b u t   n o t   n e g a t i v e " ;             b r e a k ;             c a s e   3 :             e c h o   " i   i s   3 " ;             }   ? >
些 特 殊 的 函 数 叫 m a g i c 函 数 ， m a g i c 函 数 命 名 是 以 符 号 _ _ 开 头 的 ， 比 如   _ _ c o n s t r u c t ，   _ _ d e s t r u c t ， _ _ t o S t r i n g ， _ _ s l e e p ， _ _ w a k e u p 等 等 。 这 些 函 数 都 会 在 某 些 特 殊 时 候 被 自 动 调 用 。   例 如 _ _ c o n s t r u c t ( ) 方 法 会 在 一 个 对 象 被 创 建 时 自 动 调 用 ， 对 应 的 _ _ d e s t r u c t 则 会 在 一 个 对 象 被 销 毁 时 调 用 等 等 。   这 里 有 两 个 比 较 特 别 的 M a g i c 方 法 ， _ _ s l e e p   方 法 会 在 一 个 对 象 被 序 列 化 的 时 候 调 用 。 _ _ w a k e u p 方 法 会 在 一 个 对 象 被 反 序 列 化 的 时 候 调 用 。 / / t o s t r i n g 方 法 会 在 输 出 实 例 的 时 候 执 行 ， 如 果 实 例 路 径 是 隐 秘 文 件 就 可 以 读 取 了 e c h o   u n s e r i a l i z e 触 发 了 _ _ t o s t r i n g 函 数 ， 下 面 就 可 以 读 取 了 C : U s e r s Y Z D e s k t o p p l a n . t x t 文 件 了 < ? p h p   c l a s s   t e s t {           p u b l i c   $ u s e r n a m e   =   ' ' ;           p u b l i c   $ p a s s w o r d   =   ' ' ;           p u b l i c   $ f i l e   =   ' ' ;           p u b l i c   f u n c t i o n   o u t ( ) {                   e c h o   " u s e r n a m e :   " . $ t h i s - > u s e r n a m e . " < b r > " . " p a s s w o r d :   " . $ t h i s - > p a s s w o r d   ;           }             p u b l i c   f u n c t i o n   _ _ t o S t r i n g ( )   {                   r e t u r n   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e ) ;           }   }   $ a   =   n e w   t e s t ( ) ;   $ a - > f i l e   =   ' C : U s e r s Y Z D e s k t o p p l a n . t x t ' ;   e c h o   s e r i a l i z e ( $ a ) ;   ? > < ? p h p   c l a s s   t e s t {           p u b l i c   $ u s e r n a m e   =   ' ' ;           p u b l i c   $ p a s s w o r d   =   ' ' ;           p u b l i c   $ f i l e   =   ' ' ;
1 6 . s e s s i o n   反 序 列 化 漏 洞 反 序 列 化 漏 洞 主 要 原 因 是   i n i _ s e t ( ‘ s e s s i o n . s e r i a l i z e _ h a n d l e r ’ ,   ‘ p h p _ s e r i a l i z e ’ ) ;   i n i _ s e t ( ‘ s e s s i o n . s e r i a l i z e _ h a n d l e r ’ ,   ‘ p h p ’ ) ;   两 者 处 理 s e s s i o n 的 方 式 不 同   引 用 参 考 ： h t t p s : / / b l o g . c s d n . n e t / z s w 1 5 8 4 1 8 2 2 8 9 0 / a r t i c l e / d e t a i l s / 1 0 7 1 2 2 4 8 6 h t t p s : / / w w w . c n b l o g s . c o m / n i n g s k y e r / a r t i c l e s / 9 3 2 8 3 3 7 . h t m l 往 期 精 彩 回 顾 往 期 精 彩 回 顾 ▶ 2 0 2 1 护 网 日 记 （ 九 ） - 4 / 1 5   带 你 走 进 真 实 的 2 0 2 1 护 网 现 场 ▶ 2 0 2 1 护 网 日 记 （ 八 ） - 4 / 1 4   “ 主 机 不 出 网 ， 任 你 0 d a y 也 枉 然 ” ▶ 2 0 2 1 护 网 日 记 （ 七 ） - 4 / 1 3   H W 漫 漫 ， 看 好 革 命 的 本 钱 ？ ▶ 2 0 2 1 护 网 日 记 （ 六 ） - 4 / 1 2   I n S c a n 是 个 阴 谋 么 ？ ▶ 2 0 2 1 护 网 日 记 （ 五 ） - 4 / 1 1   今 天 的 H W 报 告 怎 么 写 ？ ▶ 2 0 2 1 护 网 日 记 （ 四 ） -   护 网 第 三 天 ， 你 要 的 段 子 这 里 有 ▶ 2 0 2 1 护 网 日 记 （ 三 ） - 护 网 工 程 如 何 解 决 误 报 、 提 高 沟 通 效 率 问 题 ▶ 2 0 2 1 H V V 段 子 - 夜 班 值 守 加 点 “ 料 ” ▶ 2 0 2 1 护 网 日 记 （ 二 ） - 活 捉 “ 韩 毅 ” ▶ 2 0 2 1 护 网 日 记 （ 一 ） - 护 网 前 一 天 最 后 一 次 演 练 ▶ 2 0 2 1 护 网 来 了 ， 关 于 合 同 ， 你 需 要 知 道 的 6 点 知 识           p u b l i c   f u n c t i o n   o u t ( ) {                   e c h o   " u s e r n a m e :   " . $ t h i s - > u s e r n a m e . " < b r > " . " p a s s w o r d :   " . $ t h i s - > p a s s w o r d   ;           }             p u b l i c   f u n c t i o n   _ _ t o S t r i n g ( )   {                   r e t u r n   f i l e _ g e t _ c o n t e n t s ( $ t h i s - > f i l e ) ;           }   }   $ a   =   ' O : 4 : " t e s t " : 3 : { s : 8 : " u s e r n a m e " ; s : 0 : " " ; s : 8 : " p a s s w o r d " ; s : 0 : " " ; s : 4 : " f i l e " ; s : 2 8 : " C : U s e r s Y Z D e s k t o p p l a n . t x t " ; } ' ;   e c h o   u n s e r i a l i z e ( $ a ) ;   ? >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理