搜索

[12322] 2018-02-04_PHP代码安全杂谈

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-02-04_PHP代码安全杂谈 P H P 代 码 安 全 杂 谈 国 光   F r e e B u f   2 0 1 8 - 0 2 - 0 4 虽 然 虽 然 P H P 是 世 界 上 最 好 的 语 言 是 世 界 上 最 好 的 语 言 , 但 是 也 有 一 些 因 为 弱 类 型 语 言 的 安 全 性 问 题 出 现 。 但 是 也 有 一 些 因 为 弱 类 型 语 言 的 安 全 性 问 题 出 现 。 W o r d P r e s s 历 史 上 就 出 现 过 由 历 史 上 就 出 现 过 由 于 于 P H P 本 身 的 缺 陷 而 造 成 的 一 些 安 全 性 问 题 ， 如 本 身 的 缺 陷 而 造 成 的 一 些 安 全 性 问 题 ， 如 C V E - 2 0 1 4 - 0 1 6 6   中 的 中 的 c o o k i e 伪 造 就 是 利 用 了 伪 造 就 是 利 用 了 P H P   H a s h 比 较 的 比 较 的 缺 陷 。 缺 陷 。   当 然 一 般 这 种 情 况 实 战 中 用 到 的 不 是 很 多 ， 但 是 在 当 然 一 般 这 种 情 况 实 战 中 用 到 的 不 是 很 多 ， 但 是 在 C T F 竞 赛 中 却 是 一 个 值 得 去 考 察 的 一 个 知 识 点 ， 特 此 竞 赛 中 却 是 一 个 值 得 去 考 察 的 一 个 知 识 点 ， 特 此 记 录 总 结 之 。 记 录 总 结 之 。 一 、 精 度 绕 过 缺 陷 一 、 精 度 绕 过 缺 陷 理 论 理 论 在 用 P H P 进 行 浮 点 数 的 运 算 中 , 经 常 会 出 现 一 些 和 预 期 结 果 不 一 样 的 值 ， 这 是 由 于 浮 点 数 的 精 度 有 限 。 尽 管 取 决 于 系 统 ， P H P   通 常 使 用     双 精 度 格 式 ， 则 由 于 取 整 而 导 致 的 最 大 相 对 误 差 为   。 非 基 本 数 学 运 算 可 能 会 给 出 更 大 误 差 ， 并 且 要 考 虑 到 进 行 复 合 运 算 时 的 误 差 传 递 。 下 面 看 一 个 有 趣 的 例 子 : 以 十 进 制 能 够 精 确 表 示 的 有 理 数 如     或   ， 无 论 有 多 少 尾 数 都 不 能 被 内 部 所 使 用 的 二 进 制 精 确 表 示 ， 因 此 不 能 在 不 丢 失 一 点 点 精 度 的 情 况 下 转 换 为 二 进 制 的 格 式 。 这 就 会 造 成 混 乱 的 结 果 ： 例 如 ，   通 常 会 返 回     而 不 是 预 期 中 的   ， 因 为 该 结 果 内 部 的 表 示 其 实 是 类 似   。 I E E E   7 5 4 1 . 1 1 e - 1 6 0 . 1 0 . 7 f l o o r ( ( 0 . 1 + 0 . 7 ) * 1 0 ) 7 8 7 . 9 9 9 9 9 9 9 9 9 9 9 9 9 9 9 1 1 1 8 …
实 践 实 践 问 鼎 杯 问 鼎 杯 2 0 1 7   老 眼 昏 花 老 眼 昏 花 网 上 很 多 w r i t e - u p 感 觉 就 像 是 看 着 答 案 写 w r i t e - u p ， 个 人 感 觉 真 正 的 w r i t e - u p 中 应 该 体 现 自 己 的 思 考 在 里 面 。 题 目 描 述 题 目 描 述 题 目 言 简 意 赅 ， 让 我 们 把 这 个 值 传 递 给 服 务 器 。 考 察 点 考 察 点 P H P 浮 点 精 确 度 w r i t e - u p 所 以 第 一 反 应 是 直 接 给 参 数 赋 值 为 : 然 而 结 果 如 下 ： 有 提 示 了 ， 说 明 这 个 参 数 是 对 的 ， 但 是 中 不 可 以 出 现 ， 这 里 如 果 不 了 解 p h p 精 度 的 话 ， 肯 定 是 对 进 行 各 种 编 码 绕 过 , 但 是 这 里 对 编 码 也 进 行 过 滤 了 ： 所 以 最 后 一 种 可 能 就 是 利 用 P H P 精 度 来 绕 过 : 2 0 1 7 w h a t   y e a r   i s   t h i s ? y e a r 2 0 1 7 ? y e a r = 2 0 1 7 y e a r 2 0 1 7 7 2 0 1 7 ? y e a r = 2 0 1 6 . 9 9 9 9 9 9 9 9 9 9 9
二 、 类 型 转 换 的 缺 陷 二 、 类 型 转 换 的 缺 陷 理 论 理 论 P H P 提 供 了 函 数 ， 用 来 变 量 判 断 是 否 为 数 字 。 P H P 弱 类 型 语 言 的 一 个 特 性 ， 当 一 个 整 形 和 一 个 其 他 类 型 行 比 较 的 时 候 ， 会 先 把 其 他 类 型 i n t v a l 数 字 化 再 比 。 实 践 实 践 用 于 判 断 是 否 是 数 字 ， 通 常 配 合 数 值 判 断 。 案 例 代 码 案 例 代 码 考 察 点 考 察 点 P H P 类 型 转 换 缺 陷 w r i t e - u p 分 析 下 代 码 : 首 先 对 G E T 方 式 提 交 的 参 数 的 值 进 行 检 验 。 通 过 函 数 来 判 断 是 否 为 数 字 ， 如 果 为 数 字 的 话 ， G G 。 如 果 不 是 数 字 的 话 ， 和 进 行 比 较 ， 的 值 大 于 的 时 候 输 出 。 乍 看 上 去 又 好 像 不 可 能 这 里 ， 但 是 如 果 知 道 。 这 个 特 性 的 话 就 可 以 很 好 的 绕 过 。 三 、 松 散 比 较 符 的 缺 陷 三 、 松 散 比 较 符 的 缺 陷 理 论 理 论 i s _ n u m e r i c i s _ n u m e r i c ( ) i d i d i s _ n u m e r i c 6 6 5 i d 6 6 5 f l a g P H P 弱 类 型 语 言 的 一 个 特 性 ， 当 一 个 整 形 和 一 个 其 他 类 型 行 比 较 的 时 候 ， 会 先 把 其 他 类 型 i n t v a l 数 字 化 再 比 h t t p : / / l o c a l h o s t / ? i d = 6 6 6 g g
p h p 比 较 相 等 性 的 运 算 符 有 两 种 ， 一 种 是 严 格 比 较 ， 另 一 种 是 松 散 比 较 。 如 果 比 较 一 个 数 字 和 字 符 串 或 者 比 较 涉 及 到 数 字 内 容 的 字 符 串 ， 则 字 符 串 会 被 转 换 成 数 值 并 且 比 较 按 照 数 值 来 进 行 严 格 比 较 符 严 格 比 较 符 严 格 比 较 符 ， 会 先 判 断 两 种 字 符 串 的 类 型 是 否 相 等 ， 再 比 较 。 松 散 比 较 符 松 散 比 较 符 松 散 比 较 符 ， 会 先 将 字 符 串 类 型 转 换 成 相 同 ， 再 比 较 。 = = =       / / 全 等 ! = =       / / 不 全 等 = =       / / 等 于 ! =       / / 不 等
P H P   会 根 据 变 量 的 值 ， 自 动 把 变 量 转 换 为 正 确 的 数 据 类 型 。 这 一 点 和 C   和   C + +   以 及   J a v a   之 类 的 语 言 明 显 不 同 。 虽 然 这 样 P H P 方 便 了 程 序 员 ， 但 是 随 之 而 来 却 会 带 来 一 些 安 全 性 的 问 题 。 一 个 简 单 的 例 子 一 个 简 单 的 例 子 由 于 p h p 对 变 量 自 动 转 换 的 特 性 ， 这 里 面 的 所 以 页 面 输 出 的 结 果 为 : 一 个 深 入 的 例 子 一 个 深 入 的 例 子 $ a = = $ b   与   $ c = = $ d   均 为 真
下 面 结 合 P H P   相 等 性 比 较 缺 陷 再 解 释 下 会 好 懂 一 点 : 与 进 行 松 散 性 质 的 不 严 格 比 较 ， 会 将 转 换 为 数 值 ， 强 制 转 换 ， 由 于 是 字 符 串 ， 转 化 的 结 果 是 , 所 以   输 出   与 进 行 严 格   性 质 的 严 格 比 较 ， 这 里 的 是 字 符 串 类 型 ， 和 i n t 类 型 的 不 相 等 ， 所 以 输 出   与 进 行 松 散 性 质 的 不 严 格 比 较 ， 会 将 转 换 为 数 值 ， 强 制 转 换 ， 由 于 是 字 符 串 ， 转 化 的 结 果 是 , 不 等 于 ， 所 以 输 出   与 进 行 松 散 性 质 的 不 严 格 比 较 ， 这 里 被 强 制 转 换 为 i n t 类 型 的 时 候 会 从 字 符 串 的 第 一 位 开 始 做 判 断 进 行 转 换 ， 这 里 的 第 一 位 是 ， 所 以 这 里 被 转 换 为 ， 所 以 输 出   与 进 行 严 格   性 质 的 严 格 比 较 ， 字 符 串 的 第 一 位 不 是 数 字 ， 所 以 它 被 强 制 转 换 为 ， 所 以 输 出   这 里 比 较 特 殊 ， 字 符 串 中 出 现 了 ， P H P 手 册 介 绍 如 下 : 当 一 个 字 符 串 欸 当 作 一 个 数 值 来 取 值 ， 其 结 果 和 类 型 如 下 : 如 果 该 字 符 串 没 有 包 含 ' . ' , ' e ' , ' E ' 并 且 其 数 值 值 在 整 形 的 范 围 之 内   该 字 符 串 被 当 作 i n t 来 取 值 ， 其 他 所 有 情 况 下 都 被 作 为 f l o a t 来 取 值 ，   该 字 符 串 的 开 始 部 分 决 定 了 它 的 值 ， 如 果 该 字 符 串 以 合 法 的 数 值 开 始 ， 则 使 用 该 数 值 ， 否 则 其 值 为 0 。 实 践 实 践 v a r _ d u m p ( 0 = = " g g " ) ;     / / t r u e v a r _ d u m p ( 0 = = = " g g " ) ;   / / f a l s e v a r _ d u m p ( 1 = = " g g " ) ;     / / f a l s e 0 g g g g g g 0 t r u e 0 g g g g 0 f a l s e 0 g g g g g g 0 1 f a l s e v a r _ d u m p ( 1 = = " 1 g g " ) ;   / / t r u e   v a r _ d u m p ( 1 = = " g g 1 " ) ;   / / f a l s e 1 1 g g 1 g g 1 g g 1 1 g g 1 t r u e 1 g g 1 g g 1 0 f a l s e v a r _ d u m p ( " 0 e 1 2 3 "   = =   " 0 e 4 5 6 " ) ;     / / t r u e v a r _ d u m p ( " 0 e 1 2 3 "   = =   " 0 e a b c " ) ;     / / f l a s e 0 e
m d 5 绕 过 绕 过 ( H a s h 比 较 缺 陷 比 较 缺 陷 ) 南 京 邮 电 大 学 网 络 攻 防 训 练 平 台 中 一 道 比 较 经 典 的 题 ， 关 于 这 道 题 目 的 W r i t e U p 网 上 很 多 ， 但 是 真 正 深 入 分 析 的 少 之 又 少 ~ ~ 题 目 描 述 题 目 描 述 m d 5   c o l l i s i o n 源 码 源 码 考 察 点 考 察 点 简 单 的 P H P 代 码 审 计 P H P 弱 类 型 的 H a s h 比 较 缺 陷 w r i t e - u p 从 源 码 中 可 以 得 输 入 一 个 a 的 参 数 的 变 量 ， a 首 先 不 等 于 并 且 a 得 m d 5 值 必 须 等 于 加 密 后 的 m d 5 值 。 乍 一 看 好 像 不 可 能 存 在 这 样 的 值 ， 但 是 这 里 加 密 后 的 m d 5 值 为   这 里 是 开 头 的 ， 在 进 行 等 于 比 较 的 时 候 ， P H P 把 它 当 作 科 学 计 数 法 ， 0 的 无 论 多 少 次 方 都 是 零 。   所 以 这 里 利 用 上 面 的 弱 类 型 的 比 较 的 缺 陷 来 进 行 解 题 ： 字 符 串 加 密 后 字 符 串 加 密 后 为 为 0 e x x x x 的 字 符 串 的 字 符 串 ( x 必 须 是 必 须 是 1 0 进 制 数 字 进 制 数 字 ) 列 表 列 表 |   字 符 串 |   m d 5 | |   — -   |   — -   | |   Q N K C D Z O |   0 e 8 3 0 4 0 0 4 5 1 9 9 3 4 9 4 0 5 8 0 2 4 2 1 9 9 0 3 3 9 1 | |   2 4 0 6 1 0 7 0 8 |   0 e 4 6 2 0 9 7 4 3 1 9 0 6 5 0 9 0 1 9 5 6 2 9 8 8 7 3 6 8 5 4 | |   a a b g 7 X S s   |   0 e 0 8 7 3 8 6 4 8 2 1 3 6 0 1 3 7 4 0 9 5 7 7 8 0 9 6 5 2 9 5   | |   a a b C 9 R q S   |   0 e 0 4 1 0 2 2 5 1 8 1 6 5 7 2 8 0 6 5 3 4 4 3 4 9 5 3 6 2 9 9   | m d 5   c o l l i s i o n Q N K C D Z O Q N K C D Z O Q N K C D Z O 0 e 8 3 0 4 0 0 4 5 1 9 9 3 4 9 4 0 5 8 0 2 4 2 1 9 9 0 3 3 9 1 0 e ? a = s 1 5 5 9 6 4 6 7 1 a m d 5
|   s 8 7 8 9 2 6 1 9 9 a   |   0 e 5 4 5 9 9 3 2 7 4 5 1 7 7 0 9 0 3 4 3 2 8 8 5 5 8 4 1 0 2 0   | 四 、 四 、 s h a 1 ( )   m d 5 ( ) 加 密 函 数 漏 洞 缺 陷 加 密 函 数 漏 洞 缺 陷 理 论 理 论 和 对 一 个 数 组 进 行 加 密 将 返 回   N U L L 实 践 实 践 B o s t o n   K e y   P a r t y   C T F   2 0 1 5 :   P r u d e n t i a l 题 目 描 述 题 目 描 述 I   d o n t   t h i n k   s h a 1   i s b r o k e n . P r o v e   m e   w r o n g . 题 目 给 了 一 个 登 陆 框 : 考 察 点 考 察 点 s h a 1 ( ) 函 数 漏 洞 缺 陷 w r i t e - u p 源 代 码 给 出 如 下 : m d 5 ( ) s h a 1 ( )
分 析 一 下 核 心 登 录 代 码 如 下 : 类 型 提 交 了 两 个 字 段 和 ， 获 得 f l a g 要 求 的 条 件 是 ： n a m e   ! =   p a s s w o r d s h a 1 ( n a m e )   = =   s h a 1 ( p a s s w o r d ) 这 个 乍 看 起 来 这 是 不 可 能 的 ， 但 是 这 里 利 用 函 数 在 处 理 数 组 的 时 候 由 于 无 法 处 理 将 返 回 可 以 绕 过 i f 语 句 的 验 证 ， i f 条 件 成 立 将 获 得 。   构 造 语 句 如 下 : ? n a m e [ ] = a & p a s s w o r d [ ] = b 这 里 符 合 了 2 个 拿 到 f l a g 的 条 件 ： a 不 等 于 b n a m e 和 p a s s w o r d 由 于 是 数 组 ， 经 过 s h a 1 ( ) 函 数 嫁 给 后 都 返 回 拿 到 f l a g ：   拓 展 总 结 拓 展 总 结 经 过 验 证 ， 不 仅 函 数 无 法 处 理 数 组 ， 这 里 函 数 也 有 同 样 的 问 题 ， 在 处 理 数 组 的 时 候 ， 都 将 返 回 G E T n a m e p a s s w o r d s h a 1 ( ) N U L L f l a g N U L L I _ t h i n k _ t h a t _ I _ j u s t _ b r o k e _ s h a 1 s h a 1 ( ) m d 5 ( ) N U L L
测 试 代 码 如 下 : 这 里 面 的 核 心 代 码 如 下 : 同 样 利 用 函 数 无 法 处 理 数 组 的 这 个 漏 洞 ， 构 造 g e t 请 求 拿 到 f l a g : ? u s e r n a m e [ ] = a & p a s s w o r d [ ] = b 五 、 字 符 串 处 理 函 数 漏 洞 缺 陷 五 、 字 符 串 处 理 函 数 漏 洞 缺 陷 理 论 理 论 函 数 : 比 较 两 个 字 符 串 （ 区 分 大 小 写 ) . 用 法 如 下 : 具 体 的 用 法 解 释 如 下 : 这 个 函 数 接 受 到 了 不 符 合 的 类 型 ， 例 如 类 型 , 函 数 将 发 生 错 误 。 但 是 在 之 前 的 p h p 中 ， 显 示 了 报 错 的 警 告 信 息 后 ， 将   ! ! ! !   也 就 是 虽 然 报 了 错 ， 但 却 判 定 其 相 等 了 。 函 数 ： 字 符 串 正 则 匹 配 。 函 数 ： 查 找 字 符 串 在 另 一 字 符 串 中 第 一 次 出 现 的 位 置 ， 对 大 小 写 敏 感 。 这 2 个 函 数 都 是 用 来 处 理 字 符 串 的 ， 但 是 在 传 入 数 组 参 数 后 都 将 返 回 。 m d 5 ( ) s t r c m p ( ) i n t   s t r c m p   (   s t r i n g   $ s t r 1   ,   s t r i n g   $ s t r 2   ) 参 数   ` s t r 1 ` 第 一 个 字 符 串 。 参 数   ` s t r 2 ` 第 二 个 字 符 串 。 如 果   ` s t r 1 `   小 于   ` s t r 2 `   返 回   ` <   0 ` ； 如 果   ` s t r 1 `   大 于   ` s t r 2 `   返 回   ` >   0 ` ； 如 果 两 者 相 等 ， 返 回   0 。 数 组 5 . 3 r e t u r n   0 e r e g ( ) s t r p o s ( ) N U L L
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理