搜索

[11159] 2017-03-23_PHP网站渗透中的奇技淫巧：检查相等时的漏洞

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2017-03-23_PHP网站渗透中的奇技淫巧：检查相等时的漏洞 P H P 网 站 渗 透 中 的 奇 技 淫 巧 ： 检 查 相 等 时 的 漏 洞 s a r l e o n   F r e e B u f   2 0 1 7 - 0 3 - 2 3 * 本 文 原 创 作 者 ： s a r l e o n ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 P H P 是 现 在 网 站 中 最 为 常 用 的 后 端 语 言 之 一 ， 是 一 种 类 型 系 统 是 现 在 网 站 中 最 为 常 用 的 后 端 语 言 之 一 ， 是 一 种 类 型 系 统   动 态 、 弱 类 型 的 面 向 对 象 式 编 程 语 言 。 可 以 嵌 入 动 态 、 弱 类 型 的 面 向 对 象 式 编 程 语 言 。 可 以 嵌 入 H T M L 文 本 文 本 中 ， 是 目 前 最 流 行 的 中 ， 是 目 前 最 流 行 的 w e b 后 端 语 言 之 一 ， 并 且 可 以 和 后 端 语 言 之 一 ， 并 且 可 以 和 W e b   S e r v e r   如 如 a p a c h e 和 和 n g i n x 方 便 的 融 合 。 目 前 ， 已 经 占 据 了 服 务 端 市 方 便 的 融 合 。 目 前 ， 已 经 占 据 了 服 务 端 市 场 的 极 大 占 有 量 。 场 的 极 大 占 有 量 。 但 是 ， 弱 类 型 ， 一 些 方 便 的 特 性 由 于 新 手 程 序 员 的 不 当 使 用 ， 造 成 了 一 些 漏 洞 ， 这 篇 文 章 就 来 介 绍 一 下 一 些 渗 透 中 可 以 用 的 特 性 。 上 面 都 是 废 话 ， 下 面 我 们 进 入 正 题 1 . 弱 类 型 的 比 较 弱 类 型 的 比 较 = = 导 致 的 漏 洞 导 致 的 漏 洞 注 ： 这 些 漏 洞 适 用 于 所 有 版 本 的 p h p 先 来 复 习 一 下 基 本 的 语 法 ： p h p 中 有 如 下 两 种 比 较 符 号 ： 两 个 等 号 和 三 个 等 号 （ 这 一 点 和 J a v a s c r i p t ） 有 些 类 似 我 们 来 一 下 p h p 官 方 手 册 的 说 法 明 确 的 看 到 ， 两 个 等 于 号 的 等 于 会 在 比 较 的 时 候 进 行 类 型 转 换 的 比 较 。 如 果 比 较 一 个 数 字 和 字 符 串 或 者 比 较 涉 及 到 数 字 内 容 的 字 符 串 ， 则 字 符 串 会 被 转 换 为 数 值 并 且 比 较 按 照 数 值 来 进 行 。 此 规 则 也 适 用 于   s w i t c h   语 句 。 当 用   = = =   或   ! = =   进 行 比 较 时 则 不 进 行 类 型 转 换 ， 因 为 此 时 类 型 和 数 值 都 要 比 对 . 明 确 的 写 出 了   如 果 一 个 数 值 和 一 个 字 符 串 比 较 ， 那 么 会 将 字 符 串 转 换 为 数 值 如 果 一 个 数 值 和 一 个 字 符 串 比 较 ， 那 么 会 将 字 符 串 转 换 为 数 值 （ 而 不 是 相 反 ， 将 数 值 转 化 为 字 符 串 ） 然 而 ， p h p 是 如 何 将 一 个 字 符 串 转 化 为 数 值 的 呢 ， 我 们 继 续 查 看 p h p 手 册 当 一 个 字 符 串 被 当 作 一 个 数 值 来 取 值 ， 其 结 果 和 类 型 如 下 ： 如 果 该 字 符 串 没 有 包 含   ‘ . ’ ， ’ e ’   或   ‘ E ’   并 且 其 数 字 值 在 整 型 的 范 围 之 内 （ 由   P H P _ I N T _ M A X   所 定 义 ） ， 该 字 符 串 将 被 当 成   i n t e g e r   来 取 值 。 其 它 所 有 情 况 下 都 被 作 为   f l o a t   来 取 值 。 该 字 符 串 的 开 始 部 分 决 定 了 它 的 值 。 如 果 该 字 符 串 以 合 法 的 数 值 开 始 ， 则 使 用 该 数 值 。 否 则 其 值 为   0 （ 零 ） 。 合 法 数 值 由 可 选 的 正 负 号 ， 后 面 跟 着 一 个 或 多 个 数 字 （ 可 能 有 小 数 点 ） ， 再 跟 着 可 选 的 指 数 部 分 。 指 数 部 分 由   ‘ e ’   或   ‘ E ’   后 面 跟 着 一 个 或 多 个 数 字 构 成 。 这 是 官 方 手 册 上 面 的 几 个 例 子 $ a = = $ b $ a = = = $ b
我 们 大 概 可 以 总 结 出 如 下 的 规 则 我 们 大 概 可 以 总 结 出 如 下 的 规 则 ： 当 一 个 字 符 串 被 转 换 为 数 值 时 如 果 一 个 字 符 串 为   “ 合 法 数 字 + e + 合 法 数 字 ” 类 型 ， 将 会 解 释 为 科 学 计 数 法 的 浮 点 数 如 果 一 个 字 符 串 为   “ 合 法 数 字 +   不 可 解 释 为 合 法 数 字 的 字 符 串 ” 类 型 ， 将 会 被 转 换 为 该 合 法 数 字 的 值 ， 后 面 的 字 符 串 将 会 被 丢 弃 如 果 一 个 字 符 串 为 “ 不 可 解 释 为 合 法 数 字 的 字 符 串 + 任 意 ” 类 型 ， 则 被 转 换 为 0 ！   为 0 … 为 0 当 然 ， 上 面 的 那 些 等 式 对 于 = = = 都 是 f a l s e 的 ， 原 本 一 些 应 该 用 = = = 的 地 方 误 用 了 = = ， 导 致 了 可 以 注 入 的 地 方 。 示 例 代 码 示 例 代 码   1 ： 利 用 转 为 数 字 后 相 等 的 漏 洞 ： 利 用 转 为 数 字 后 相 等 的 漏 洞 < ? p h p $ f o o   =   1   +   " 1 0 . 5 " ;                                 / /   $ f o o   i s   f l o a t   ( 1 1 . 5 ) $ f o o   =   1   +   " - 1 . 3 e 3 " ;                             / /   $ f o o   i s   f l o a t   ( - 1 2 9 9 ) $ f o o   =   1   +   " b o b - 1 . 3 e 3 " ;                       / /   $ f o o   i s   i n t e g e r   ( 1 ) $ f o o   =   1   +   " b o b 3 " ;                                 / /   $ f o o   i s   i n t e g e r   ( 1 ) $ f o o   =   1   +   " 1 0   S m a l l   P i g s " ;               / /   $ f o o   i s   i n t e g e r   ( 1 1 ) $ f o o   =   4   +   " 1 0 . 2   L i t t l e   P i g g i e s " ;   / /   $ f o o   i s   f l o a t   ( 1 4 . 2 ) $ f o o   =   " 1 0 . 0   p i g s   "   +   1 ;                     / /   $ f o o   i s   f l o a t   ( 1 1 ) $ f o o   =   " 1 0 . 0   p i g s   "   +   1 . 0 ;                 / /   $ f o o   i s   f l o a t   ( 1 1 )           ? >
这 是 一 个 c t f 的 题 目 ， 非 常 有 趣 ， 可 以 看 到 ， 要 求 给 出 两 字 符 串 ， 一 个 是 纯 数 字 型 ， 一 个 只 能 出 现 字 符 ， 使 两 个 的 m d 5 哈 希 值 相 等 ， 然 而 这 种 强 碰 撞 在 密 码 学 上 都 是 无 法 做 到 的 。 但 是 我 们 看 到 ， 最 终 比 较 两 者 的 哈 希 的 时 候 ， 使 用 的 是 等 于 等 于   而 不 是   全 等 于 全 等 于   ， 因 此 可 以 利 用 一 下 这 个 漏 洞 再 回 头 看 一     函 数 s t r 原 始 字 符 串 。 r a w _ o u t p u t 如 果 可 选 的   r a w _ o u t p u t   被 设 置 为   T R U E ， 那 么   M D 5   报 文 摘 要 将 以 1 6 字 节 长 度 的 原 始 二 进 制 格 式 返 回 。 可 以 知 道 ， 第 二 个 参 数 为 t r u e 的 时 候 ， 显 示 1 6 位 的 结 果 ， 而 为 f a l s e 和 没 有 第 二 个 参 数 时 ， 为 3 2 位 的 1 6 进 制 码 （ 1 6 位 的 结 果 是 把 3 2 位 的 作 为 A S C I I 码 进 行 解 析 ） 1 6 进 制 的 数 据 中 是 含 有 e 的 ， 可 以 构 建 使 得 两 个 数 字 比 较 的 ， 这 里 有 一 个 现 成 的 例 子 ： 可 以 看 到 ， 这 两 个 字 符 串 一 个 只 包 含 数 字 ， 一 个 只 包 含 字 母 ， 虽 然 两 个 的 哈 希 不 一 样 ， 但 是 都 是 一 个 形 式 ： 0 e   纯 数 字 这 种 格 式 的 字 符 串 在 判 断 相 等 的 时 候 会 被 认 为 是 科 学 计 数 法 的 数 字 ， 先 做 字 符 串 到 数 字 的 转 换 。 转 换 后 都 成 为 了 0 的 好 多 好 多 次 方 ， 都 是 0 ， 相 等 。 （ 大 家 可 以 自 己 尝 试 一 下 ） 因 此 m d 5 ( ) s t r i n g   m d 5   (   s t r i n g   $ s t r   [ ,   b o o l   $ r a w _ o u t p u t   =   f a l s e   ]   ) m d 5 ( ' 2 4 0 6 1 0 7 0 8 ' )   / / 0 e 4 6 2 0 9 7 4 3 1 9 0 6 5 0 9 0 1 9 5 6 2 9 8 8 7 3 6 8 5 4 . m d 5 ( ' Q N K C D Z O ' )   / / 0 e 8 3 0 4 0 0 4 5 1 9 9 3 4 9 4 0 5 8 0 2 4 2 1 9 9 0 3 3 9 1
用 = = = 可 以 避 免 这 一 漏 洞 。 示 例 代 码 示 例 代 码 2 :   利 用 利 用   类 类 ’ a ' = = 0 的 漏 洞 的 漏 洞 这 次 这 个 例 子 是 传 入 一 个 J S O N 的 数 据 ， J S O N 在 R E S T f u l 的 网 站 中 是 很 常 用 的 一 种 数 据 传 输 的 格 式 。 这 个 表 单 会 把 一 个 n a m e 为 k e y 的 i n p u t 的 数 据 作 为 j s o n 传 到 服 务 端 我 们 该 如 何 破 解 ？ 想 ” a ” = = 0 这 个 漏 洞 ， 之 用 我 们 使 是 一 个 数 字 类 型 的 变 量 就 可 以 ， 怎 么 做 到 呢 ？ p h p 的 函 数 会 根 据 j s o n 数 据 中 的 数 据 类 型 来 将 其 转 换 为 p h p 中 的 相 应 类 型 的 数 据 ， 也 就 是 说 ， 如 果 我 们 在 j s o n 中 传 一 个 s t r i n g 类 型 ， 那 么 该 变 量 就 是 s t r i n g ， 如 果 传 入 的 是 n u m b e r ， 则 该 变 量 为 n u m b e r 。 因 此 ， 我 们 如 果 传 入 一 个 数 字 ， 就 可 以 使 之 相 等 。 网 页 中 的 表 单 可 能 限 制 了 所 有 的 输 入 都 是 s t r i n g ， 即 使 输 入 数 字 ， 传 入 的 东 西 也 是 这 是 一 个 字 符 串 0 ， 我 们 需 要 让 他 为 数 字 类 型 ， 用 b u r p 拦 截 ， 把 两 个 双 引 号 去 掉 ， 变 成 这 样 ： { " k e y " : " y o u r   i n p u t " } $ j s o n - > k e y j s o n _ d e c o d e ( ) { " k e y " : " 0 " } { " k e y " : 0 }
即 可 。 值 得 讨 论 的 一 点 是 ， 在 这 种 方 法 的 漏 洞 利 用 中 ， 很 难 在 直 接 表 单 类 型 的 P O S T 的 数 据 中 使 用 ， 这 是 为 什 么 呢 ， 这 个 和 H T T P 协 议 有 关 。 首 先 ， 我 们 看 一 下 ， 在 P O S T 给 服 务 器 的 数 据 中 ， 有 几 种 类 型 ， 也 就 是 H T T P   h e a d e r 中 的 C o n t e n t - T y p e : 第 一 个 a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ， 是 一 般 表 单 形 式 提 交 的 c o n t e n t - t y p e 第 二 个 ， 是 包 含 文 件 的 表 单 。 第 三 ， 四 个 ， 分 别 是 j s o n 和 x m l ， 一 般 是 j s 当 中 上 传 的 . 但 是 因 为 在 直 接 的 P O S T 的 p a y l o a d 当 中 是 无 法 区 分 字 符 串 和 数 字 的 ， 因 为 在 其 中 并 没 有 引 号 出 现 ， 举 一 个 抓 包 的 例 子 可 以 看 到 ， p a y l o a d 是 放 在 h t t p 包 的 最 后 面 的 ， 而 且 都 是 以 没 有 引 号 的 形 式 传 递 的 ， 并 没 有 办 法 区 分 到 底 是 字 符 串 还 是 数 字 。 因 此 ， P H P 将 P O S T 的 数 据 全 部 保 存 为 字 符 串 形 式 ， 也 就 没 有 办 法 注 入 数 字 类 型 的 数 据 了 而 J S O N 则 不 一 样 ， J S O N 本 身 是 一 个 完 整 的 字 符 串 ， 经 过 解 析 之 后 可 能 有 字 符 串 ， 数 字 ， 布 尔 等 多 种 类 型 。 2 .   s t r c m p 漏 洞 漏 洞 注 ： 这 一 个 漏 洞 适 用 与 5 . 3 之 前 版 本 的 p h p 我 们 首 先 看 一 下 这 个 函 数 , 这 个 函 数 是 用 于 比 较 字 符 串 的 函 数 参 数   s t r 1 第 一 个 字 符 串 。 s t r 2 第 二 个 字 符 串 。 如 果   s t r 1   小 于   s t r 2   返 回   <   0 ；   如 果   s t r 1   大 于   s t r 2   返 回   >   0 ； 如 果 两 者 相 等 ， 返 回   0 。 可 知 ， 传 入 的 期 望 类 型 是 字 符 串 类 型 的 数 据 ， 但 是 如 果 我 们 传 入 非 字 符 串 类 型 的 数 据 的 时 候 ， 这 个 函 数 将 会 有 怎 么 样 的 行 为 呢 ？ 实 际 上 ， 当 这 个 函 数 接 受 到 了 不 符 合 的 类 型 ， 这 个 函 数 将 发 生 错 误 ， 但 是 在 5 . 3 之 前 的 p h p 中 ， 显 示 了 报 错 的 警 告 信 息 后 ， 将 显 示 了 报 错 的 警 告 信 息 后 ， 将 r e t u r n   0 ! ! ! !   也 就 是 虽 然 报 了 错 ， 但 却 判 定 其 相 等 了 。 这 对 于 使 用 这 个 函 数 来 做 选 择 语 句 中 的 判 断 的 代 码 来 说 简 直 是 一 个 致 命 的 漏 洞 ， 当 然 ， p h p 官 方 在 后 面 的 版 本 中 修 复 了 这 个 漏 洞 ， 使 得 报 错 的 时 候 函 数 不 返 回 任 何 值 。 但 是 我 们 仍 然 可 以 使 用 这 个 漏 洞 对 使 用 老 版 本 p h p 的 网 站 进 行 渗 透 测 试 。 看 一 段 示 例 代 码 ： a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d m u l t i p a r t / f o r m - d a t a a p p l i c a t i o n / j s o n a p p l i c a t i o n / x m l i n t   s t r c m p   (   s t r i n g   $ s t r 1   ,   s t r i n g   $ s t r 2   )
对 于 这 段 代 码 ， 我 们 能 用 什 么 办 法 绕 过 验 证 呢 ，   只 要 我 们 是 一 个 数 组 或 者 一 个 o b j e c t 即 可 ， 但 是 上 一 个 问 题 的 时 候 说 到 过 ， 只 能 上 传 字 符 串 类 型 ， 那 我 们 又 该 如 何 做 呢 。 其 实 p h p 为 了 可 以 上 传 一 个 数 组 ， 会 把 结 尾 带 一 对 中 括 号 的 变 量 ， 例 如   的 n a m e （ 就 是 $ _ P O S T 中 的 k e y ） ， 当 作 一 个 名 字 为 的 数 组 构 造 类 似 如 下 的 r e q u e s t 即 可 使 得 上 述 代 码 绕 过 验 证 成 功 。 3   总 结 总 结 这 一 类 型 的 漏 洞 的 特 点 主 要 就 是 利 用 P H P 中   的 类 型 特 性 来 绕 过 验 证 。 由 于   = =   和   = = =   有 着 明 显 的 区 分 ， 因 此 ， 估 计 短 期 内 P H P 的 作 者 并 不 会 调 整 对 于 这 两 个 符 号 的 策 略 。 而 对 于 开 发 市 场 而 言 ， 随 着 培 训 机 构 的 增 多 ， 后 端 程 序 员 尤 其 是 p h p 后 端 程 序 员 的 门 槛 越 来 越 低 ， 其 水 平 必 定 也 是 良 莠 不 齐 后 端 程 序 员 的 门 槛 越 来 越 低 ， 其 水 平 必 定 也 是 良 莠 不 齐 ， 这 些 二 把 刀 程 序 员 可 能 带 来 更 多 的 此 类 对 于 特 性 的 不 当 使 用 导 致 的 漏 洞 此 类 对 于 特 性 的 不 当 使 用 导 致 的 漏 洞 ， 因 此 这 类 漏 洞 仍 然 是 非 常 具 有 利 用 价 值 的 。 总 结 一 下 ， 对 于 开 发 人 员 ， 需 要 坚 持 几 个 习 惯 ： 认 真 阅 读 P H P   m a n u a l ， 不 能 以 其 他 语 言 的 经 验 来 完 全 带 入 p h p 进 行 编 码 在 使 用 一 个 运 算 符 或 者 函 数 之 前 ， 详 细 的 查 看 文 档 ， 搞 清 楚 函 数 在 什 么 样 的 条 件 下 ， 会 有 怎 样 的 行 为 。 记 住 保 证 安 全 的 几 句 箴 言 ： 任 何 用 户 输 入 都 是 不 可 信 的 ！ 任 何 用 户 输 入 都 是 不 可 信 的 ！ 对 于 w e b 应 用 来 说 ， 前 端 （ 浏 览 器 端 ） 的 安 全 限 制 只 能 起 到 防 止 一 般 前 端 （ 浏 览 器 端 ） 的 安 全 限 制 只 能 起 到 防 止 一 般 $ _ P O S T [ ' p a s s w o r d ' ] x x x [ ] x x x
用 户 的 误 输 入 行 为 ， 完 全 不 可 能 对 于 黑 帽 子 的 行 为 有 任 何 的 防 御 作 用 用 户 的 误 输 入 行 为 ， 完 全 不 可 能 对 于 黑 帽 子 的 行 为 有 任 何 的 防 御 作 用 因 此 ， 在 防 御 这 个 漏 洞 的 过 程 中 ， 保 证 几 件 事 情 ： 在 所 有 可 能 的 地 方 ， 都 使 用 来 代 替 对 于 用 户 输 入 做 过 滤 和 类 型 检 查 尽 量 使 用 新 版 本 的 p h p ， a p a c h e 基 本 上 就 可 以 完 美 的 防 御 这 一 类 的 漏 洞 。 而 对 于 渗 透 测 试 人 员 ， 在 代 码 审 计 的 过 程 中 ， 对 于 有 , 的 比 较 也 应 极 为 敏 感   。 在 黑 盒 渗 透 的 时 候 也 可 以 对 于 代 码 进 行 猜 测 ， 结 合 信 息 搜 集 过 程 中 的 一 些 版 本 特 性 ， 利 用 这 些 漏 洞 来 绕 过 验 证 。 * 本 文 原 创 作 者 ： s a r l e o n ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 = = = = = = = s t r c m p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理