碼上歡樂
相關內容    簡體    繁體

PHP函數漏洞集合【轉】

本文轉載自   查看原文   2018-07-18 11:44   1926    06-語言-php

 

1.弱類型比較

 

2.MD5 compare漏洞

PHP在處理哈希字符串時，如果利用”!=”或”==”來對哈希值進行比較，它把每一個以”0x”開頭的哈希值都解釋為科學計數法0的多少次方（為0），所以如果兩個不同的密碼經過哈希以后，其哈希值都是以”0e”開頭的，那么php將會認為他們相同。 

常見的payload有

 

0x01 md5(str)

    QNKCDZO

    240610708

    s878926199a

    s155964671a

    s214587387a

    s214587387a

0x02 sha1(str)

    sha1('aaroZmOk')  

    sha1('aaK1STfY')

    sha1('aaO8zKZF')

    sha1('aa3OFF9m')

 

同時MD5不能處理數組，若有以下判斷則可用數組繞過

 

if(@md5($_GET['a']) == @md5($_GET['b']))

{

    echo "yes";

}

//http://127.0.0.1/1.php?a[]=1&b[]=2

 

現在更厲害了…自從王小雲教授提出了MD5碰撞之后這個就成了大熱門，現在網上流傳一個諸多密碼專家寫的MD5碰撞程序，是根據一個文件，然后填充內容生成兩個MD5值一樣的文件（有一定失敗率其實），然后生成的內容MD5就相同了…強網杯簽到題，簡直震驚…軟件是fastcoll_v1.0.0.5，自行下載吧

 

3.ereg函數漏洞：00截斷

ereg ("^[a-zA-Z0-9]+$", $_GET['password']) === FALSE

字符串對比解析 

在這里如果 $_GET[‘password’]為數組，則返回值為NULL 

如果為123 || asd || 12as || 123%00&&&**，則返回值為true 

其余為false

 

4.$key是什么？

別忘記程序可以把變量本身的key也當變量提取給函數處理。

 

<?php

    print_r(@$_GET); 

    foreach ($_GET AS $key => $value)

    {

        print $key."\n";

    }

?>

5.變量覆蓋

主要涉及到的函數為extract函數，看個例子

 

<?php  

    $auth = '0';  

    // 這里可以覆蓋$auth的變量值

    print_r($_GET);

    echo "</br>";

    extract($_GET); 

    if($auth == 1){  

        echo "private!";  

    } else{  

        echo "public!";  

    }  

?>

extract可以接收數組，然后重新給變量賦值，過程頁很簡單。 

這里寫圖片描述

同時！PHP的特性$可以用來賦值變量名也能導致變量覆蓋！

 

<?php  

    $a='hi';

    foreach($_GET as $key => $value) {

        echo $key."</br>".$value;

        $$key = $value;

    }

    print "</br>".$a;

?>

 

 

構造http://127.0.0.1:8080/test.php?a=12 即可達到目的。

 

6.strcmp

如果 str1 小於 str2 返回 < 0； 如果 str1 大於 str2 返回 > 0；如果兩者相等，返回 0。 

先將兩個參數先轉換成string類型。 

當比較數組和字符串的時候，返回是0。 

如果參數不是string類型，直接return

 

 

<?php

    $password=$_GET['password'];

    if (strcmp('xd',$password)) {

     echo 'NO!';

    } else{

        echo 'YES!';

    }

?>

 

構造http://127.0.0.1:8080/test.php?password[]=

 

7.is_numeric

無需多言：

 

<?php

echo is_numeric(233333);       # 1

echo is_numeric('233333');    # 1

echo is_numeric(0x233333);    # 1

echo is_numeric('0x233333');   # 1

echo is_numeric('233333abc');  # 0

?>

 

8.preg_match

如果在進行正則表達式匹配的時候，沒有限制字符串的開始和結束(^ 和 $)，則可以存在繞過的問題

 

<?php

$ip = 'asd 1.1.1.1 abcd'; // 可以繞過

if(!preg_match("/(\d+)\.(\d+)\.(\d+)\.(\d+)/",$ip)) {

  die('error');

} else {

   echo('key...');

}

?>

 

9.parse_str

與 parse_str() 類似的函數還有 mb_parse_str()，parse_str 將字符串解析成多個變量，如果參數str是URL傳遞入的查詢字符串（query string），則將它解析為變量並設置到當前作用域。 

時變量覆蓋的一種

 

<?php

    $var='init';  

    print $var."</br>";

    parse_str($_SERVER['QUERY_STRING']);  

    echo $_SERVER['QUERY_STRING']."</br>";

    print $var;

?>

 

10.字符串比較

<?php  

    echo 0 == 'a' ;// a 轉換為數字為 0    重點注意

    // 0x 開頭會被當成16進制54975581388的16進制為 0xccccccccc

    // 十六進制與整數，被轉換為同一進制比較

    '0xccccccccc' == '54975581388' ;

 

    // 字符串在與數字比較前會自動轉換為數字，如果不能轉換為數字會變成0

    1 == '1';

    1 == '01';

    10 == '1e1';

    '100' == '1e2' ;    

 

    // 十六進制數與帶空格十六進制數，被轉換為十六進制整數

    '0xABCdef'  == '     0xABCdef';

    echo '0010e2' == '1e3';

    // 0e 開頭會被當成數字，又是等於 0*10^xxx=0

    // 如果 md5 是以 0e 開頭，在做比較的時候，可以用這種方法繞過

    '0e509367213418206700842008763514' == '0e481036490867661113260034900752';

    '0e481036490867661113260034900752' == '0' ;

 

    var_dump(md5('240610708') == md5('QNKCDZO'));

    var_dump(md5('aabg7XSs') == md5('aabC9RqS'));

    var_dump(sha1('aaroZmOk') == sha1('aaK1STfY'));

    var_dump(sha1('aaO8zKZF') == sha1('aa3OFF9m'));

?>

 

11.unset

unset(bar);用來銷毀指定的變量，如果變量bar 包含在請求參數中，可能出現銷毀一些變量而實現程序邏輯繞過。

 

<?php  

$_CONFIG['extraSecure'] = true;

 

foreach(array('_GET','_POST') as $method) {

    foreach($$method as $key=>$value) {

      // $key == _CONFIG

      // $$key == $_CONFIG

      // 這個函數會把 $_CONFIG 變量銷毀

      unset($$key);

    }

}

 

if ($_CONFIG['extraSecure'] == false) {

    echo 'flag {****}';

}

?>

 

12.intval()

int轉string：

 

$var = 5;  

方式1：$item = (string)$var;  

方式2：$item = strval($var); 

 

string轉int：intval()函數。

 

var_dump(intval('2')) //2  

var_dump(intval('3abcd')) //3  

var_dump(intval('abcd')) //0 

可以使用字符串-0轉換，來自於wechall的方法

 

說明intval()轉換的時候，會將從字符串的開始進行轉換直到遇到一個非數字的字符。即使出現無法轉換的字符串，intval()不會報錯而是返回0 

順便說一下，intval可以被%00截斷

 

if($req['number']!=strval(intval($req['number']))){

     $info = "number must be equal to it's integer!! ";  

}

 

如果當$req[‘number’]=0%00即可繞過

 

13.switch()

如果switch是數字類型的case的判斷時，switch會將其中的參數轉換為int類型，效果相當於intval函數。如下：

 

<?php

    $i ="abc";  

    switch ($i) {  

    case 0:  

    case 1:  

    case 2:  

    echo "i is less than 3 but not negative";  

    break;  

    case 3:  

    echo "i is 3";  

    } 

?>

14.in_array()

$array=[0,1,2,'3'];  

var_dump(in_array('abc', $array)); //true  

var_dump(in_array('1bc', $array)); //true 

 

在所有php認為是int的地方輸入string，都會被強制轉換

 

15.serialize 和 unserialize漏洞

這里我們先簡單介紹一下php中的魔術方法（這里如果對於類、對象、方法不熟的先去學學吧），即Magic方法，php類可能會包含一些特殊的函數叫magic函數，magic函數命名是以符號__開頭的，比如 __construct， __destruct，__toString，__sleep，__wakeup等等。這些函數都會在某些特殊時候被自動調用。 

例如__construct()方法會在一個對象被創建時自動調用，對應的__destruct則會在一個對象被銷毀時調用等等。 

這里有兩個比較特別的Magic方法，__sleep 方法會在一個對象被序列化的時候調用。 __wakeup方法會在一個對象被反序列化的時候調用。

 

<?php

class test

{

    public $username = '';

    public $password = '';

    public $file = '';

    public function out(){

        echo "username: ".$this->username."<br>"."password: ".$this->password ;

    }

     public function __toString() {

        return file_get_contents($this->file);

    }

}

$a = new test();

$a->file = 'C:\Users\YZ\Desktop\plan.txt';

echo serialize($a);

?>

//tostring方法會在輸出實例的時候執行，如果實例路徑是隱秘文件就可以讀取了

echo unserialize觸發了__tostring函數，下面就可以讀取了C:\Users\YZ\Desktop\plan.txt文件了

 

<?php

class test

{

    public $username = '';

    public $password = '';

    public $file = '';

    public function out(){

        echo "username: ".$this->username."<br>"."password: ".$this->password ;

    }

     public function __toString() {

        return file_get_contents($this->file);

    }

}

$a = 'O:4:"test":3:{s:8:"username";s:0:"";s:8:"password";s:0:"";s:4:"file";s:28:"C:\Users\YZ\Desktop\plan.txt";}';

echo unserialize($a);

?>

 

16.session 反序列化漏洞

主要原因是 

ini_set(‘session.serialize_handler’, ‘php_serialize’); 

ini_set(‘session.serialize_handler’, ‘php’); 

1.弱類型比較

 

這里寫圖片描述

 

2.MD5 compare漏洞

PHP在處理哈希字符串時，如果利用”!=”或”==”來對哈希值進行比較，它把每一個以”0x”開頭的哈希值都解釋為科學計數法0的多少次方（為0），所以如果兩個不同的密碼經過哈希以后，其哈希值都是以”0e”開頭的，那么php將會認為他們相同。 
常見的payload有

0x01 md5(str)
    QNKCDZO
    240610708
    s878926199a
    s155964671a
    s214587387a
    s214587387a
0x02 sha1(str)
    sha1('aaroZmOk')  
    sha1('aaK1STfY')
    sha1('aaO8zKZF')
    sha1('aa3OFF9m')
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13

同時MD5不能處理數組，若有以下判斷則可用數組繞過

if(@md5($_GET['a']) == @md5($_GET['b']))
{
    echo "yes";
}
//http://127.0.0.1/1.php?a[]=1&b[]=2
  • 1
  • 2
  • 3
  • 4
  • 5

現在更厲害了…自從王小雲教授提出了MD5碰撞之后這個就成了大熱門，現在網上流傳一個諸多密碼專家寫的MD5碰撞程序，是根據一個文件，然后填充內容生成兩個MD5值一樣的文件（有一定失敗率其實），然后生成的內容MD5就相同了…強網杯簽到題，簡直震驚…軟件是fastcoll_v1.0.0.5，自行下載吧

3.ereg函數漏洞：00截斷

ereg ("^[a-zA-Z0-9]+$", $_GET['password']) === FALSE
  • 1

字符串對比解析 
在這里如果 $_GET[‘password’]為數組，則返回值為NULL 
如果為123 || asd || 12as || 123%00&&&**，則返回值為true 
其余為false

4.$key是什么？

別忘記程序可以把變量本身的key也當變量提取給函數處理。

<?php print_r(@$_GET); foreach ($_GET AS $key => $value) { print $key."\n"; } ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

5.變量覆蓋

主要涉及到的函數為extract函數，看個例子

<?php $auth = '0'; // 這里可以覆蓋$auth的變量值 print_r($_GET); echo "</br>"; extract($_GET); if($auth == 1){ echo "private!"; } else{ echo "public!"; } ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12

extract可以接收數組，然后重新給變量賦值，過程頁很簡單。 

這里寫圖片描述

 

同時！PHP的特性$可以用來賦值變量名也能導致變量覆蓋！

<?php  
    $a='hi';
    foreach($_GET as $key => $value) {
        echo $key."</br>".$value;
        $$key = $value;
    }
    print "</br>".$a;
?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8

構造http://127.0.0.1:8080/test.php?a=12 即可達到目的。

6.strcmp

如果 str1 小於 str2 返回 < 0； 如果 str1 大於 str2 返回 > 0；如果兩者相等，返回 0。 
先將兩個參數先轉換成string類型。 
當比較數組和字符串的時候，返回是0。 
如果參數不是string類型，直接return
  • 1
  • 2
  • 3
  • 4
  • 5
<?php
    $password=$_GET['password'];
    if (strcmp('xd',$password)) {
     echo 'NO!';
    } else{
        echo 'YES!';
    }
?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8

構造http://127.0.0.1:8080/test.php?password[]=

7.is_numeric

無需多言：

<?php
echo is_numeric(233333);       # 1
echo is_numeric('233333');    # 1
echo is_numeric(0x233333);    # 1
echo is_numeric('0x233333');   # 1
echo is_numeric('233333abc');  # 0
?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

8.preg_match

如果在進行正則表達式匹配的時候，沒有限制字符串的開始和結束(^ 和 $)，則可以存在繞過的問題

<?php
$ip = 'asd 1.1.1.1 abcd'; // 可以繞過
if(!preg_match("/(\d+)\.(\d+)\.(\d+)\.(\d+)/",$ip)) {
  die('error');
} else {
   echo('key...');
}
?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8

9.parse_str

與 parse_str() 類似的函數還有 mb_parse_str()，parse_str 將字符串解析成多個變量，如果參數str是URL傳遞入的查詢字符串（query string），則將它解析為變量並設置到當前作用域。 
時變量覆蓋的一種

<?php $var='init'; print $var."</br>"; parse_str($_SERVER['QUERY_STRING']); echo $_SERVER['QUERY_STRING']."</br>"; print $var; ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

10.字符串比較

<?php echo 0 == 'a' ;// a 轉換為數字為 0 重點注意 // 0x 開頭會被當成16進制54975581388的16進制為 0xccccccccc // 十六進制與整數，被轉換為同一進制比較 '0xccccccccc' == '54975581388' ; // 字符串在與數字比較前會自動轉換為數字，如果不能轉換為數字會變成0 1 == '1'; 1 == '01'; 10 == '1e1'; '100' == '1e2' ; // 十六進制數與帶空格十六進制數，被轉換為十六進制整數 '0xABCdef' == ' 0xABCdef'; echo '0010e2' == '1e3'; // 0e 開頭會被當成數字，又是等於 0*10^xxx=0 // 如果 md5 是以 0e 開頭，在做比較的時候，可以用這種方法繞過 '0e509367213418206700842008763514' == '0e481036490867661113260034900752'; '0e481036490867661113260034900752' == '0' ; var_dump(md5('240610708') == md5('QNKCDZO')); var_dump(md5('aabg7XSs') == md5('aabC9RqS')); var_dump(sha1('aaroZmOk') == sha1('aaK1STfY')); var_dump(sha1('aaO8zKZF') == sha1('aa3OFF9m')); ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25

11.unset

unset(bar);用來銷毀指定的變量，如果變量bar 包含在請求參數中，可能出現銷毀一些變量而實現程序邏輯繞過。

<?php $_CONFIG['extraSecure'] = true; foreach(array('_GET','_POST') as $method) { foreach($$method as $key=>$value) { // $key == _CONFIG // $$key == $_CONFIG // 這個函數會把 $_CONFIG 變量銷毀 unset($$key); } } if ($_CONFIG['extraSecure'] == false) { echo 'flag {****}'; } ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16

12.intval()

int轉string：

$var = 5;  
方式1：$item = (string)$var;  
方式2：$item = strval($var);
  • 1
  • 2
  • 3

string轉int：intval()函數。

var_dump(intval('2')) //2 
var_dump(intval('3abcd')) //3 
var_dump(intval('abcd')) //0 
可以使用字符串-0轉換，來自於wechall的方法
  • 1
  • 2
  • 3
  • 4

說明intval()轉換的時候，會將從字符串的開始進行轉換直到遇到一個非數字的字符。即使出現無法轉換的字符串，intval()不會報錯而是返回0 
順便說一下，intval可以被%00截斷

if($req['number']!=strval(intval($req['number']))){
     $info = "number must be equal to it's integer!! ";  
}
  • 1
  • 2
  • 3

如果當$req[‘number’]=0%00即可繞過

13.switch()

如果switch是數字類型的case的判斷時，switch會將其中的參數轉換為int類型，效果相當於intval函數。如下：

<?php $i ="abc"; switch ($i) { case 0: case 1: case 2: echo "i is less than 3 but not negative"; break; case 3: echo "i is 3"; } ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12

14.in_array()

$array=[0,1,2,'3'];  
var_dump(in_array('abc', $array)); //true  
var_dump(in_array('1bc', $array)); //true
  • 1
  • 2
  • 3

在所有php認為是int的地方輸入string，都會被強制轉換

15.serialize 和 unserialize漏洞

這里我們先簡單介紹一下php中的魔術方法（這里如果對於類、對象、方法不熟的先去學學吧），即Magic方法，php類可能會包含一些特殊的函數叫magic函數，magic函數命名是以符號__開頭的，比如 __construct， __destruct，__toString，__sleep，__wakeup等等。這些函數都會在某些特殊時候被自動調用。 
例如__construct()方法會在一個對象被創建時自動調用，對應的__destruct則會在一個對象被銷毀時調用等等。 
這里有兩個比較特別的Magic方法，__sleep 方法會在一個對象被序列化的時候調用。 __wakeup方法會在一個對象被反序列化的時候調用。
  • 1
  • 2
  • 3
  • 4
<?php class test { public $username = ''; public $password = ''; public $file = ''; public function out(){ echo "username: ".$this->username."<br>"."password: ".$this->password ; } public function __toString() { return file_get_contents($this->file); } } $a = new test(); $a->file = 'C:\Users\YZ\Desktop\plan.txt'; echo serialize($a); ?>
//tostring方法會在輸出實例的時候執行，如果實例路徑是隱秘文件就可以讀取了
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18

echo unserialize觸發了__tostring函數，下面就可以讀取了C:\Users\YZ\Desktop\plan.txt文件了

<?php class test { public $username = ''; public $password = ''; public $file = ''; public function out(){ echo "username: ".$this->username."<br>"."password: ".$this->password ; } public function __toString() { return file_get_contents($this->file); } } $a = 'O:4:"test":3:{s:8:"username";s:0:"";s:8:"password";s:0:"";s:4:"file";s:28:"C:\Users\YZ\Desktop\plan.txt";}'; echo unserialize($a); ?>
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16

16.session 反序列化漏洞

主要原因是 
ini_set(‘session.serialize_handler’, ‘php_serialize’); 
ini_set(‘session.serialize_handler’, ‘php’); 
兩者處理session的方式不同 


免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。



猜您在找 PHP 函數 處理 漏洞繞過 【轉】JS函數集合大全 PHP中MD5函數漏洞 （轉）PHP文件上傳漏洞原理以及防御姿勢 PHP字符串轉實體函數 PHP 秒數 轉時分秒 函數 PHP通用的XSS攻擊過濾函數，Discuz系統中 防止XSS漏洞攻擊，過濾HTML危險標簽屬性的PHP函數 PHP XXE漏洞 PHP之文件上傳漏洞 CVE-2018-19518 PHP imap_open函數任意命令執行漏洞復現
 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM