本博文转自:大佬博客(侵权删)
系统变量
|
|
错误控制运算符
PHP 支持一个错误控制运算符:@。当将其放置在一个PHP 表达式之前,该表达式可能产生的任何错误信息都被忽略掉。
变量默认值
当定义一个变量,如果没有设置值,默认为0
$_GET 和 $_POST
http://ctf4.shiyanbar.com/web/false.php?name[]=a&password[]=b
如果 GET 参数中设置 name[]=a
,那么 $_GET['name'] = [a]
,php 会把 []=a
当成数组传入, $_GET
会自动对参数调用 urldecode
。
$_POST
同样存在此漏洞,提交的表单数据,user[]=admin
,$_POST['user']
得到的是 ['admin']
是一个数组。
内置函数的松散性
strcmp
strcmp 函数的输出含义如下:
如果 str1 小于 str2 返回 < 0;
如果 str1 大于 str2 返回 > 0;
如果两者相等,返回 0。
- 5.2 中是将两个参数先转换成string类型。
- 5.3.3 以后,当比较数组和字符串的时候,返回是0。
- 5.5 中如果参数不是string类型,直接return了
|
|
sha1 和 md5 函数
md5 和 sha1 无法处理数组,但是 php 没有抛出异常,直接返回 fasle
|
|
弱类型
当一个整形和一个其他类型行比较的时候,会先把其他类型 intval
再比较
intval
intval() 在转换的时候,会从字符串的开始进行转换直到遇到一个非数字的字符。即使出现无法转换的字符串,intval() 不会报错而是返回 0。
|
|
这个时候 $a
的值有可能是 1002 union…
|
|
is_numeric
PHP提供了is_numeric函数,用来变量判断是否为数字。但是函数的范围比较广泛,不仅仅是十进制的数字。
|
|
in_array
in_array函数用来判断一个值是否在某一个数组列表里面,通常判断方式如下:
|
|
这段代码的作用是过滤 GET 参数 typeid 在不在 1,2,3,4 这个数组里面。但是,in_array 函数存在自动类型转换。如果请求,typeid=1’ union select..
也能通过 in_array 的验证
|
|
== 和 ===
==
是弱类型的比较===
比较符则可以避免这种隐式转换,除了检查值还检查类型。
以下比较的结果都为 true
|
|
hash 比较的问题
0e 开头且后面都是数字会被当作科学计数法,也就是等于 0*10^xxx=0。如果 md5 是以 0e 开头,在做比较的时候,可以用这种方法绕过。
|
|
如果要找出 0e
开头的 hash 碰撞,可以用如下代码
|
|
switch
如果 switch 是数字类型的 case 的判断时, switch 会将其中的参数转换为 int
类型。
|
|
这个时候程序输出的是 i is less than 3 but not negative,是由于 switch() 函数将 $i
进行了类型转换,转换结果为 2。
正则表达式
preg_match
如果在进行正则表达式匹配的时候,没有限制字符串的开始和结束(^
和 $
),则可以存在绕过的问题
|
|
ereg %00 截断
ereg 读到 %00 的时候,就截止了
|
|
这里 a=abcd%001234
,可以绕过
变量覆盖
extract
extract() 函数从数组中把变量导入到当前的符号表中。对于数组中的每个元素,键名用于变量名,键值用于变量值。
|
|
parse_str
parse_str() 的作用是解析字符串,并注册成变量。与 parse_str() 类似的函数还有 mb_parse_str(),parse_str 将字符串解析成多个变量,如果参数 str 是 URL 传递入的查询字符串(query string),则将它解析为变量并设置到当前作用域。
|
|
$$ 变量覆盖
如果把变量本身的 key 也当变量,也就是使用了 $$
,就可能存在问题。
|
|
例子
|
|
unset
unset($bar);
用来销毁指定的变量,如果变量 $bar
包含在请求参数中,可能出现销毁一些变量而实现程序逻辑绕过。
特殊的 PHP 代码格式
以这种后缀结尾的 php 文件也能被解析,这是在 fast-cgi 里面配置的
- .php2
- .php3
- .php4
- .php5
- .php7
- .phtml
正则检测文件内容中包含 <?
就异常退出,通常的PHP代码就不行了,可以使用这种方式绕过
|
|
效果等于 echo ‘a’;
|
|
如果在 php.ini 文件中配置允许 ASP 风格的标签
|
|
则可以使用该方式
|
|
伪随机数
mt_rand()
mt_rand() 函数是一个伪随机发生器,即如果知道随机数种子是可以预测的。
|
|
linux 64 位系统中,rand() 和 mt_rand() 产生的最大随机数都是2147483647,正好是 2^31-1,也就是说随机播种的种子也是在这个范围中的,0 – 2147483647 的这个范围是可以爆破的。
但是用 php 爆破比较慢,有一个 C 的版本,可以根据随机数,爆破出种子 php_mt_seed。
在 php > 4.2.0 的版本中,不再需要用 srand() 或 mt_srand() 函数给随机数发生器播种,现已由 PHP 自动完成。php 中产生一系列的随机数时,只进行了一次播种,而不是每次调用 mt_rand() 都进行播种。
rand()
rand() 函数在产生随机数的时候没有调用 srand(),则产生的随机数是有规律可询的。具体的说明请看这里。产生的随机数可以用下面这个公式预测:
|
|
可以用下面的代码验证一下
|
|
反序列化
- __construct():构造函数,当对象创建(new)时会自动调用。但在unserialize()时是不会自动调用的。
- __destruct():析构函数,当对象被销毁时会自动调用。
- __wakeup() :如前所提,unserialize()时会自动调用。
PHP unserialize()
后会导致 __wakeup()
或 __destruct()
的直接调用,中间无需其他过程。因此最理想的情况就是一些漏洞/危害代码在 __wakeup()
或 __destruct()
中。
__wakeup
函数绕过
PHP 有个 Bug,如果反序列化出现问题,会不去执行 __wakeup
函数,例如:
|
|
使用这个 payload 绕过 __wakeup
函数
|
|
在字符串中,前面的数字代表的是后面字符串中字符的个数,如果数字与字符个数不匹配的话,就会报错,因此将1改成2就会产生报错,导致不会去执行 __wakeup
函数,从而绕过该函数。
文件包含
|
|
命令执行
反引号 `
反引号 ` 可以调用 shell_exec 正常执行代码
|
|
preg_replace()
触发条件:
- 第一个参数需要e标识符,有了它可以执行第二个参数的命令
- 第一个参数需要在第三个参数中的中有匹配,不然echo会返回第三个参数而不执行命令,举个例子:
|
|
我们可以构造这样的后门代码
|
|
当访问这样这样的链接时就可以被触发
http://localhost:8000/testbug.php?h=phpinfo();
伪协议
php://filter
读取文件
|
|
php://input
写入文件, 数据利用 POST 传过去
|
|
data://
将 include 的文件流重定向到用户控制的输入流
|
|
可以用于控制 file_get_contents 的内容为用户输入的流
|
|
phar://
发现有一个文件上传功能,无法绕过,仅能上传jpg后缀的文件。与此同时,无法进行文件包含截断。allow_url_include=on 的状态下,就可以考虑phar伪协议绕过。
写一个shell.php文件,里面包含一句话木马。然后,压缩成xxx.zip。然后改名为xxx.jpg进行上传。最后使用phar进行包含
这里的路径为上传的 jpg 文件在服务器的路径
|
|
zip://
上述 phar:// 的方法也可以使用 zip://
然后吧1.php文件压缩成zip,再把zip的后缀改为png,上传上去,并且可以获得上传上去的png的地址。
1.zip文件内仅有1.php这个文件
|
|
文件上传漏洞
正常的文件上传流程是这样的,首先接收 POST 的文件,在 tmp
目录下生成临时文件,文件名是 php[A-Za-z0-9]{6}
,在 php 处理后删除临时文件,虽然没有文件上传,但是只要文件上传开启了就一定会创建临时文件,在这中途如果 php 意外退出则临时文件不会被删除,造成 /tmp
目录下可以留下任何内容。 内容构造好后,单纯爆破 /tmp/phpxxxxxx
文件名是不太现实但是也可行的。
通过文件包含,让其包含本身,造成无限循环后发出 SIGSEGV 信号,可以导致 php 意外退出。