搜索

[2067] 2021-06-19_PHP代码审计-变量覆盖

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2021-06-19_PHP代码审计-变量覆盖 P H P 代 码 审 计 - 变 量 覆 盖 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 6 - 1 9 收 录 于 话 题   # 代 码 审 计   , 8 个 变 量 覆 盖 $ $ e x t r a c t ( ) p a r s e _ s t r ( ) m b _ p a r s e _ s t r ( ) i m p o r t _ r e q u e s t _ v a r i a b l e s ( ) r e g i s t e r _ g l o b a l s = O n 实 例 - M e t I n f o   v 5 . 1 . 4   （ $ $ + f o r e a c h ） 变 量 覆 盖 变 量 覆 盖 变 量 覆 盖 指 的 是 用 我 们 自 定 义 的 参 数 值 替 换 程 序 原 有 的 变 量 值 ， 一 般 变 量 覆 盖 漏 洞 需 要 结 合 程 序 的 其 它 功 能 来 实 现 完   整 的 攻 击 。 经 常 导 致 变 量 覆 盖 漏 洞 场 景 有 ： $ $ e x t r a c t ( ) p a r s e _ s t r ( ) i m p o r t _ r e q u e s t _ v a r i a b l e s ( ) 全 局 变 量 注 册 $ $ d e m o . p h p < ? p h p $ v a r = ' h e l l o ' ;   / / $ $ 代 表 可 变 变 量 $ $ v a r = ' w o r l d ' ;   / / $ h e l l o = ' w o r l d ' e c h o   $ v a r . ' < / b r > ' ; e c h o   $ $ v a r . ' < / b r > ' ; e c h o   $ h e l l o ; ? > 运 行 结 果 ：
e x t r a c t ( ) ( P H P   4 ,   P H P   5 ,   P H P   7 ,   P H P   8 ) e x t r a c t   —   从 数 组 中 将 变 量 导 入 到 当 前 的 符 号 表 语 法 ： e x t r a c t ( a r r a y , e x t r a c t _ r u l e s , p r e f i x ) a r r a y     必 需 e x t r a c t _ r u l e s     可 选 可 选 的 值 有 ： E X T R _ O V E R W R I T E   -   默 认 。 如 果 有 冲 突 ， 则 覆 盖 已 有 的 变 量 。 E X T R _ S K I P   -   如 果 有 冲 突 ， 不 覆 盖 已 有 的 变 量 。 E X T R _ P R E F I X _ S A M E   -   如 果 有 冲 突 ， 在 变 量 名 前 加 上 前 缀   p r e f i x 。 E X T R _ P R E F I X _ A L L   -   给 所 有 变 量 名 加 上 前 缀   p r e f i x 。 E X T R _ P R E F I X _ I N V A L I D   -   仅 在 不 合 法 或 数 字 变 量 名 前 加 上 前 缀   p r e f i x 。 E X T R _ I F _ E X I S T S   -   仅 在 当 前 符 号 表 中 已 有 同 名 变 量 时 ， 覆 盖 它 们 的 值 。 其 它 的 都 不 处 理 。 E X T R _ P R E F I X _ I F _ E X I S T S   -   仅 在 当 前 符 号 表 中 已 有 同 名 变 量 时 ， 建 立 附 加 了 前 缀 的 变 量 名 ， 其 它 的 都 不 处 理 。 E X T R _ R E F S   -   将 变 量 作 为 引 用 提 取 。 导 入 的 变 量 仍 然 引 用 了 数 组 参 数 的 值 。 p r e f i x         可 选 该 函 数 使 用 数 组 键 名 作 为 变 量 名 ， 使 用 数 组 键 值 作 为 变 量 值 。 针 对 数 组 中 的 每 个 元 素 ， 将 在 当 前 符 号 表 中 创 建 对 应 的 一 个 变 量 。 该 函 数 返 回 成 功 设 置 的 变 量 数 目 。 d e m o . p h p < ? p h p $ v a r = " d o n 9 " ; e x t r a c t ( $ _ G E T ) ; i f ( $ v a r   = =   " s e c " ) { e c h o   $ v a r ; } e l s e   e c h o   $ v a r ; ? > 结 果 ：
覆 盖 前 . p n g 覆 盖 后 . p n g d e m o . p h p   ( 设 置 e x t r a c t _ r u l e s ) < ? p h p $ v a r = " d o n 9 " ; e x t r a c t ( $ _ G E T , E X T R _ S K I P ) ; i f ( $ v a r   = =   " s e c " ) { e c h o   $ v a r ; } e l s e   e c h o   $ v a r ; ? > 结 果 ： 覆 盖 失 败 ，   因 为 设 置 e x t r a c t _ r u l e s 为   E X T R _ S K I P 后 ， 如 果 变 量 名 有 冲 突 ， 不 会 覆 盖 已 有 的 变 量 。 p a r s e _ s t r ( ) 把 查 询 字 符 串 解 析 到 变 量 中 。 语 法 ： p a r s e _ s t r ( s t r i n g , a r r a y ) s t r i n g 为 必 选
a r r a y 为 可 选 如 果 未 设 置 如 果 未 设 置   a r r a y   参 数 ， 由 该 函 数 设 置 的 变 量 将 覆 盖 已 存 在 的 同 名 变 量 。 参 数 ， 由 该 函 数 设 置 的 变 量 将 覆 盖 已 存 在 的 同 名 变 量 。   d e m o . p h p （ 无 参 数 ａ ｒ ｒ ａ ｙ ） < ? p h p   p a r s e _ s t r ( " I D = d o n 9 s e c & A G E = 2 " ) ; e c h o   $ I D . ' < / b r > ' ; e c h o   $ A G E ; ? > 结 果 ： 该 函 数 将 Ｉ Ｄ 和 Ａ Ｇ Ｅ 初 始 化 成 了 变 量 ， 且 值 为 等 号 右 边 的 值 。 d e m o . p h p   ( 有 参 数 ａ ｒ ｒ ａ ｙ ) < ? p h p   p a r s e _ s t r ( " I D = d o n 9 s e c & A G E = 2 " , $ s e c A r r a y ) ; e c h o   $ I D . ' < / b r > ' ; e c h o   $ A G E ; p r i n t _ r ( $ s e c A r r a y ) ? > 结 果 ： 可 以 看 到 ， 有 参 数 ａ ｒ ｒ ａ ｙ 时 ， Ｉ Ｄ 和 Ａ Ｇ Ｅ 并 没 有 被 初 始 化 为 全 局 变 量 。 m b _ p a r s e _ s t r ( ) ( P H P   4   > =   4 . 0 . 6 ,   P H P   5 ,   P H P   7 ,   P H P   8 ) 解 析   G E T / P O S T / C O O K I E   数 据 并 设 置 全 局 变 量 。
语 法 ： m b _ p a r s e _ s t r   (   s t r i n g   ,   a r r a y ) s t r i n g 为 必 选 a r r a y 为 可 选 如 果 未 设 置 如 果 未 设 置   a r r a y   参 数 ， 由 该 函 数 设 置 的 变 量 将 覆 盖 已 存 在 的 同 名 变 量 。 参 数 ， 由 该 函 数 设 置 的 变 量 将 覆 盖 已 存 在 的 同 名 变 量 。 d e m o . p h p （ 无 参 数 ａ ｒ ｒ ａ ｙ ） < ? p h p   p a r s e _ s t r ( " I D = d o n 9 s e c & A G E = 2 " ) ; e c h o   $ I D . ' < / b r > ' ; e c h o   $ A G E ; ? > 结 果 ： 可 以 看 见 ， 函 数 在 没 有 设 置 参 数 ａ ｒ ｒ ａ ｙ 时 ， 将 ｉ ｄ 和 ａ ｇ ｅ 初 始 化 为 变 量 并 赋 值 。 d e m o . p h p   ( 有 参 数 ａ ｒ ｒ ａ ｙ ) < ? p h p $ s t r   =   ' i d = d o n 9 s e c & a g e = 2 ' ; m b _ p a r s e _ s t r ( $ s t r , $ r e s u l t ) ; e c h o   $ i d . ' < / b r > ' ; e c h o   $ a g e . ' < / b r > ' ; p r i n t _ r ( $ r e s u l t ) ; 结 果 ： 如 报 错 信 息 所 示 ， 设 置 参 数 ａ ｒ ｒ ａ ｙ 后 ， ｉ ｄ 和 ａ ｇ ｅ 并 没 有 被 初 始 化 为 全 局 变 量 。
i m p o r t _ r e q u e s t _ v a r i a b l e s ( )   版 本 要 求 ： P H P   4   > =   4 . 1 . 0 ,   P H P   5   <   5 . 4 . 0 将   G E T / P O S T / C o o k i e   变 量 导 入 到 全 局 作 用 域 中 ( 相 当 于 开 启 全 局 变 量 注 册 ) ,     所 以 如 果 禁 止 了   r e g i s t e r _ g l o b a l s ， 但 又 想 用 到 一 些 全 局 变 量 ， 则 可 以 使 用 该 函 数 。 语 法 ： i m p o r t _ r e q u e s t _ v a r i a b l e s ( s t r i n g   $ t y p e s   , s t r i n g   $ p r e f i x   ) t y p e s 为 必 选 指 定 需 要 导 入 的 变 量 ， 可 以 用 字 母   G 、 P   和   C   分 别 表 示   G E T 、 P O S T   和   C o o k i e ， 这 些 字 母 不 区 分 大 小 写 ， 所 以 你 可 以 使 用   g   、 p   和   c   的 任 何 组 合 。 P O S T   包 含 了 通 过   P O S T   方 法 上 传 的 文 件 信 息 。 注 意 这 些 字 母 的 顺 序 ， 当 使 用   g p   时 ， P O S T   变 量 将 使 用 相 同 的 名 字 覆 盖   G E T   变 量 。 任 何   G P C   以 外 的 字 母 都 将 被 忽 略 。 p r e f i x 为 可 选 d e m o . p h p < ? p h p $ v a r   =   " d o n 9 " ; / /   此 处 将 导 入   G E T   变 量 i m p o r t _ r e q u e s t _ v a r i a b l e s ( " G " ) ; i f ( $ v a r   = =   " s e c " ) { e c h o   $ v a r ; } e l s e   e c h o   $ v a r ; ? > 结 果 ： 覆 盖 前 . p n g 覆 盖 后 . p n g r e g i s t e r _ g l o b a l s = O n
全 局 变 量 注 册 ， 当 在 p h p . i n i 开 启 r e g i s t e r _ g l o b a l s =   O n 时 ， 代 码 中 的 参 数 会 被 用 户 提 交 的 参 数 覆 盖 掉 。 本 特 性 已 自   P H P   5 . 3 . 0   起 废 弃 并 将 自   P H P   5 . 4 . 0   起 移 除 。 实 例 实 例 - M e t I n f o   v 5 . 1 . 4   （ （ $ $ + f o r e a c h ） ） 漏 洞 入 口 / a b o u t / i n d e x . p h p / c a s e / i n d e x . p h p / d o w n l o a d / i n d e x . p h p / j o b / i n d e x . p h p / p r o d u c t / i n d e x . p h p / n e w s / i n d e x . p h p 这 里 以 / n e w s / i n d e x . p h p 为 例 < ? p h p $ f i l p y   =   b a s e n a m e ( d i r n a m e ( _ _ F I L E _ _ ) ) ; $ f m o d u l e = 2 ; r e q u i r e _ o n c e   ' . . / i n c l u d e / m o d u l e . p h p ' ; r e q u i r e _ o n c e   $ m o d u l e ; ? > 跟 进 / i n c l u d e / m o d u l e . p h p < ? p h p r e q u i r e _ o n c e   ' c o m m o n . i n c . p h p ' ; 跟 进 / c o m m o n . i n c . p h p 使 用 f o r e a c h 来 遍 历 数 组 中 的 值 作 为 变 量 ， 经 典 的 $ $ 变 量 覆 盖 案 例 代 码 ，   利 用 示 例 确 定 漏 洞 点 后 开 始 回 溯 ， 继 续 跟 进 / i n c l u d e / m o d u l e . p h p
首 先 $ f m o d u l e 和 $ m o d u l e 在 / a b o u t / i n d e x . p h p 获 得 一 个 初 始 值 当 f m o d u l e 不 等 于 7 时 ， 满 足 条 件 ， $ m o d u l e 会 被 初 始 化 （ / i n c l u d e / m o d u l e . p h p     7 8 行 ） ； 当 f m o d u l e 等 于 7 时 ， m o d u l e 就 不 会 被 初 始 化 ， 且 m o d u l e 又 是 可 控 的 ， 此 时 便 可 以 通 过 r e q u i r e _ o n c e   ' . . / i n c l u d e / m o d u l e . p h p ' ; r e q u i r e _ o n c e   ' c o m m o n . i n c . p h p ' ; 两 次 文 件 包 含 使 用 $ _ r e q u e s t 来 获 取 G E T 传 递 的 新 f m o d u l e 值 实 现 变 量 覆 盖 。 如 ： 为 了 方 便 演 示 该 漏 洞 设 置 p h p . i n i a l l o w _ u r l _ f o p e n   =   O n     / / 允 许 打 开 远 程 文 件 a l l o w _ u r l _ i n c l u d e   =   O n   / / 允 许 i n c l u d e / r e q u i r e 远 程 文 件
参 考 : - - - - - - - - - - 分 割 线 - - - - - - - - - - 近 期 状 态 ： p s : h t t p s : / / y 4 e r . c o m / p o s t / v a r i a b l e - c o v e r a g e / 前 俩 月 ： 不 是 在 h w 就 是 在 h w 的 路 上 近 一 月 ： 期 末 考 试 / 减 肥 / 秋 招 简 历 9 月 前 ：         -   w e b / 内 网 填 坑 ( 准 备 秋 招 )         -   把 最 近 的 笔 记 贴 上 ( 总 结 + 经 验 )         -   代 码 审 计 ( 多 屯 几 个 0 d a y )         -   公 众 号 回 到 正 轨         -   . . . 欢 迎 一 ' 点 ' 三 连 （ 点 分 享 + 点 赞 + 点 在 看 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理