搜索

[21106] 2020-06-25_变量覆盖漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-06-25_变量覆盖漏洞 变 量 覆 盖 漏 洞 L e m o n S e c   2 0 2 0 - 0 6 - 2 5 先 看 一 段 代 码 ： 最 后 回 显 的 是 x x x ， 讲 实 话 ， 我 第 一 次 明 白 了 这 个 原 理 后 ， 不 禁 吐 槽 ， 啥 ？ 这 就 是 世 界 上 最 好 的 语 言 ？ ？ ？ 这 种 低 级 错 误 还 能 有 ？ 我 们 再 回 到 漏 洞 本 身 ： 发 现 ： 代 码 审 计 ， 扫 描 工 具 扫 不 出 变 量 覆 盖 漏 洞 大 多 数 由 函 数 使 用 不 当 导 致 ， 经 常 引 发 变 量 覆 盖 漏 洞 的 函 数 有 ： e x t r a c t ( ) , p a r s e _ s t r ( ) 和 i m p o r t _ r e q u e s t _ v a r i a b l e s ( ) 织 梦 d e d e c m s 的 2 0 1 5 年 一 次 变 量 覆 盖 ： h t t p : / / w w w . x x . c o m / 织 梦 网 站 后 台 < ? p h p $ a = ' a a a ' ; $ a a a = ' x x x ' ; e c h o   $ $ a ;   / / $ $ a = $ ( $ a ) = $ ( a a a ) = ' x x x ' ? > < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 " / > < ? p h p $ a = ' a a ' ; $ a a = ' 1 2 3 ' ; e c h o   ' 第 一 次 变 量 a a 的 值 是 ' . $ a a . ' < b r > ' ; $ $ a = $ _ G E T [ ' n a m e ' ] ; e c h o   ' 第 二 次 变 量 a a 的 值 是 ' . $ a a . ' < b r > ' ;   / / $ $ a = $ ( $ a ) = $ a a = $ _ G E T ? >
/ l o g i n . p h p ? d o p o s t = l o g i n & v a l i d a t e = d c u g & u s e r i d = 账 号 & p w d = 密 码 &   _ P O S T [ G L O B A L S ]   [ c f g _ d b h o s t ] = M Y S Q L 外 链 I P & _ P O S T [ G L O B A L S ]   [ c f g _ d b u s e r ] = M Y S Q L 的 账 号 & _ P O S T [ G L O B A L S ] [ c f g _ d b p w d ] = M Y S Q L 的 密 码 & _ P O S T [ G L O B A L S ]   [ c f g _ d b n a m e ] = 自 己 的 d e d e c m s 的 数 据 库 变 量 覆 盖 导 致 重 写 为 任 意 数 据 库 配 置 这 块 内 容 有 点 难 懂 ， 转 载 下 来 时 常 翻 ：   一 、 全 局 变 量 覆 盖 一 、 全 局 变 量 覆 盖 当 r e g i s t e r _ g l o b a l = O N 时 ， 变 量 来 源 可 能 是 各 个 不 同 的 地 方 ， 比 如 页 面 的 表 单 ， C o o k i e 等 。 当 r e g i s t e r _ g l o b a l s = O F F 时 ， 这 段 代 码 不 会 出 问 题 。 但 是 当 r e g i s t e r _ g l o b a l s = O N 时 ， 提 交 请 求 U R L ： h t t p : / / w w w . a . c o m / t e s t . p h p ? a u t h = 1 , 变 量 $ a u t h 将 自 动 得 到 赋 值 。 得 到 的 结 果 为 R e g i s t e r _ g l o b a l s : 1 p r i v a t e ! 小 记 ： 如 果 上 面 的 代 码 中 ， 已 经 对 变 量 $ a u t h 赋 了 初 始 值 ， 比 如 $ a u t h = 0 ， 那 么 即 使 在 U R L 中 有 / t e s t . p h p ? a u t h = 1 ， 也 不 会 将 变 量 覆 盖 ， 也 就 是 说 不 会 打 印 出 p r i v a t e ！ 利 用 ： 通 过 $ G L O B A L S 获 取 的 变 量 ， 也 可 能 导 致 变 量 覆 盖 。 变 量 $ a 未 初 始 化 ， 在 r e g i s t e r _ g l o b a l s = O N 时 ， 再 尝 试 控 制 “ $ a ” 的 值 （ h t t p : / / w w w . a . c o m / t e s t 1 . p h p ? a = 1 & b = 2 ） ， 会 因 为 这 段 代 码 而 出 错 。 而 当 尝 试 注 入 “ G L O B A L S [ a ] ” 以 覆 盖 全 局 变 量 时 （ h t t p : / / w w w . a . c o m / t e s t 1 . p h p ? G L O B A L S [ a ] = 1 & b = 2 ） ， 则 可 以 成 功 控 制 变 量 “ $ a ” 的 值 。 这 是 因 为 u n s e t ( ) 默 认 只 会 销 毁 局 部 变 量 ， 要 销 毁 全 局 变 量 必 须 使 用 $ G L O B A L S 。 而 在 而 在 r e g i s t e r _ g l o b a l s = O F F 时 ， 则 无 法 覆 盖 到 全 局 变 量 。 时 ， 则 无 法 覆 盖 到 全 局 变 量 。 小 记 ： r e g i s t e r _ g l o b a l s 的 意 思 是 注 册 为 全 局 变 量 ， 所 以 当 O n 的 时 候 ， 传 递 过 来 的 值 会 被 直 接 注 册 为 全 局 变 量 而 直 接 使 用 ， 当 为 O F F 的 时 候 ， 就 需 要 到 特 定 的 数 组 中 去 得 到 它 。 u n s e t 用 于 释 放 给 定 的 变 量 二 、 二 、 e x t r a c t ( ) 变 量 覆 盖 变 量 覆 盖 < ? p h p e c h o   " R e g i s t e r _ g l o b a l s :   " . ( i n t ) i n i _ g e t ( " r e g i s t e r _ g l o b a l s " ) . " < b r / > " ; i f   ( $ a u t h ) {       e c h o   " p r i v a t e ! " ; } ? > < ? p h p e c h o   " R e g i s t e r _ g l o b a l s : " . ( i n t ) i n i _ g e t ( " r e g i s t e r _ g l o b a l s " ) . " < b r / > " ; i f   ( i n i _ g e t ( ' r e g i s t e r _ g l o b a l s ' ) )   f o r e a c h ( $ _ R E Q U E S T   a s   $ k = > $ v )   u n s e t ( $ { $ k } ) ; p r i n t   $ a ; p r i n t   $ _ G E T [ b ] ; ? > < ? p h p $ a u t h   =   ' 0 ' ; e x t r a c t ( $ _ G E T ) ； i f ( $ a u t h = = 1 ) { e c h o   " p r i v a t e ! " ; } e l s e {
假 设 用 户 构 造 以 下 链 接 ： h t t p : / / w w w . a . c o m / t e s t 1 . p h p ? a u t h = 1 界 面 上 会 打 印 出 p r i v a t e ！ 安 全 的 做 法 是 确 定 r e g i s t e r _ g l o b a l s = O F F 后 ， 在 调 用 e x t r a c t ( ) 时 使 用 E X T R _ S K I P 保 证 已 有 变 量 不 会 被 覆 盖 。 小 记 ： P H P   e x t r a c t ( )   函 数 从 数 组 中 把 变 量 导 入 到 当 前 的 符 号 表 中 。 对 于 数 组 中 的 每 个 元 素 ， 键 名 用 于 变 量 名 ， 键 值 用 于 变 量 值 。 三 、 遍 历 初 始 化 变 量 三 、 遍 历 初 始 化 变 量 常 见 的 一 些 以 遍 历 的 方 式 释 放 变 量 的 代 码 ， 可 能 会 导 致 变 量 覆 盖 。 若 提 交 参 数 c h s ， 则 可 覆 盖 变 量 " $ c h s " 的 值 。 小 记 ： 在 代 码 审 计 时 需 要 注 意 类 似 “ $ $ k ” 的 变 量 赋 值 方 式 有 可 能 覆 盖 已 有 的 变 量 ， 从 而 导 致 一 些 不 可 控 制 的 结 果 。 四 、 四 、 i m p o r t _ r e q u e s t _ v a r i a b l e s 变 量 覆 盖 变 量 覆 盖 当 用 户 输 入 h t t p : / / w w w . a . c o m / t e s t 1 . p h p ? a u t h = 1 时 ， 网 页 上 会 输 出 p r i v a t e ！ i m p o r t _ r e q u e s t _ v a r i a b l e s ( ' G ' ) 指 定 导 入 G E T 请 求 中 的 变 量 ， 从 而 导 致 变 量 覆 盖 。 小 记 ： i m p o r t _ r e q u e s t _ v a r i a b l e s   —   将   G E T ／ P O S T ／ C o o k i e   变 量 导 入 到 全 局 作 用 域 中 。 如 果 你 禁 止 了   r e g i s t e r _ g l o b a l s ， 但 又 想 用 到 一 些 全 局 变 量 ， 那 么 此 函 数 就 很 有 用 。 五 、 五 、 p a r s e _ s t r ( ) 变 量 覆 盖 变 量 覆 盖 与 p a r s e _ s t r ( ) 类 似 的 函 数 还 有 m b _ p a r s e _ s t r ( ) 小 记 ： p a r s e _ s t r   —   将 字 符 串 解 析 成 多 个 变 量 ， 如 果 参 数 s t r 是 U R L 传 递 入 的 查 询 字 符 串 （ q u e r y   s t r i n g ） ， 则 将 它 解 析 为 变 量 } e l s e { e c h o   " p u b l i c ! " ; } ? > < ?             $ c h s   =   ' ' ;             i f ( $ _ P O S T   & &   $ c h a r s e t   ! =   ' u t f - 8 ' ) {                     $ c h s   =   n e w   C h i n e s e ( ' U T F - 8 ' ,   $ c h a r s e t ) ;                     f o r e a c h ( $ _ P O S T   a s   $ k e y   = >   $ v a l u e ) {                             $ $ k e y   =   $ c h s - > C o n v e r t ( $ v a l u e ) ;                     }                     u n s e t ( $ c h s ) ;             }             ? > < ? p h p             $ a u t h   =   ' 0 ' ;             i m p o r t _ r e q u e s t _ v a r i a b l e s ( ' G ' ) ;                         i f ( $ a u t h   = =   1 ) {                 e c h o   " p r i v a t e ! " ;             } e l s e {                 e c h o   " p u b l i c ! " ;             }             ? > / / v a r . p h p ? v a r = n e w     $ v a r = ' i n i t ' ;     p a r s e _ s t r ( $ _ S E R V E R [ ' Q U E R Y _ S T R I N G ' ] ) ;     p r i n t   $ v a r ;
并 设 置 到 当 前 作 用 域 。     修 复 ， 用 到 这 些 变 量 的 时 候 ， 自 己 检 测 可 能 性 ， 尤 其 是 当 f o r e a c h 涉 及 键 名 键 值 时 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 点 击 右 下 角 “ 在 看 ” 转 载 自 博 客 ， 作 者 ： D r K a n g   链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / d r k a n g / p / 8 6 8 9 2 0 5 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理