无字母数字 RCE 与 create_function 全解析：技术原理、操作与实战

本文链接：https://blog.csdn.net/m0_57836225/article/details/144331459

一、无字母数字 RCE 概述

（一）实现原理

（二）操作过程及示例

（三）常用工具（在无字母数字 RCE 中的应用有限，但可辅助分析）

二、create_function 函数概述

（一）函数特性与风险

（二）操作过程及示例

（三）防范措施

在 Web 安全领域，无字母数字 RCE（远程命令执行）和 create_function 函数是两个重要且具有挑战性的研究方向。理解它们的工作原理、掌握相关操作过程以及熟悉可用工具，对于深入研究 Web 安全漏洞利用和防御机制至关重要。本文将详细探讨无字母数字 RCE 和 create_function 函数，包括其概念、实现方式、操作步骤、相关命令以及实用工具。

一、无字母数字 RCE 概述

无字母数字 RCE 是指在不使用常规字母和数字字符的情况下，在目标服务器上执行任意命令的技术。这种技术通常利用了编程语言或系统的一些特性，通过巧妙构造特殊字符或利用编码技巧来绕过常见的安全过滤机制，从而实现恶意命令的执行。

（一）实现原理

利用编码和字符替代
- 许多编程语言和系统允许使用非字母数字字符来表示数据或执行操作。例如，在 PHP 中，可以使用十六进制编码（\x开头）来表示字符，从而绕过对字母数字的过滤。攻击者可以通过将恶意命令转换为这种编码形式，然后在合适的位置注入，使服务器在解码后执行该命令。
- 利用特殊字符和符号的组合来模拟字母数字的功能。例如，在某些情况下，+、-、!等字符可以通过特定的运算或函数调用组合来表示字母或数字。
利用系统特性和函数
- 操作系统或编程语言中的一些内置函数和特性可能存在被利用的风险。例如，PHP 中的一些字符串处理函数（如strrev用于反转字符串）和变量解析特性（如${}用于动态变量名解析）可以被组合使用，以构造出不包含字母数字的命令执行方式。
- 利用文件系统操作函数，如include、require等，通过控制文件路径（可能使用编码或特殊字符构造）来引入恶意文件或执行其中的代码。

（二）操作过程及示例

PHP 环境下的无字母数字 RCE 示例
- 假设目标服务器存在一个用户输入点，且对输入进行了字母数字过滤。
- 首先，利用 PHP 的特性构造一个不包含字母数字的命令。例如，使用~（按位取反）操作符来生成字符。
- 命令构造如下：
  - $a='~'.'（这里开始是一个十六进制编码的字符串，代表phpinfo函数名，通过~操作符和编码来绕过字母数字过滤）';
  - $b='~'.'（这里是十六进制编码的字符串，代表()，用于调用函数）';
  - $c='~'.'（十六进制编码的字符串，代表;，用于结束命令）';
  - 然后通过eval($a.$b.$c);（这里eval函数用于执行构造的命令字符串）来执行phpinfo()函数，获取服务器信息。
- 操作步骤：
  - 找到目标应用程序的输入点，如表单提交、URL 参数等。
  - 将构造好的无字母数字命令注入到输入点中，观察服务器的响应，看是否成功执行命令。
利用文件包含实现无字母数字 RCE（以 Linux 系统为例）
- 如果目标服务器存在文件包含漏洞，且对包含的文件名有限制（例如，不允许字母数字）。
- 可以构造一个特殊的文件名，例如使用chr函数（如果可用）通过其 ASCII 码值来构造文件名。假设chr函数未被过滤，构造命令如下：
  - $filename='chr(47).chr(116).chr(109).chr(112).chr(47).chr(102).chr(108).chr(97).chr(103)';（这里构造的文件名是/tmp/flag，通过chr函数将字符转换为 ASCII 码值来表示文件名，绕过字母数字限制）
  - 然后使用include($filename);来包含该文件，获取文件内容（假设flag文件包含敏感信息）。
- 操作步骤：
  - 确定目标服务器存在文件包含漏洞，且能够控制包含的文件名。
  - 构造特殊文件名并注入到文件包含函数的参数中，检查是否成功获取文件内容。

（三）常用工具（在无字母数字 RCE 中的应用有限，但可辅助分析）

Burp Suite
- 功能：主要用于拦截、修改和分析 HTTP 请求和响应。在无字母数字 RCE 攻击中，可以帮助找到输入点，分析服务器对输入的过滤机制。
- 操作步骤：
  - 配置 Burp Suite 代理，使其能够拦截目标应用程序的流量。
  - 观察拦截到的请求，找到可能存在漏洞的参数，尝试在这些参数中注入构造的无字母数字命令，然后分析服务器的响应。
PHPStorm（或其他代码编辑器）
- 功能：在构造无字母数字命令时，可以利用代码编辑器的编码转换功能（如将字符转换为十六进制编码）和语法提示功能，方便准确地构造复杂的命令字符串。
- 操作步骤：
  - 在编辑器中输入要转换为特殊编码的字符或命令片段。
  - 使用编辑器的编码转换工具（通常在菜单中可找到相关选项）将其转换为合适的编码形式，然后复制并粘贴到攻击代码中。

二、create_function 函数概述

create_function函数是 PHP 中的一个函数，用于动态创建匿名函数。然而，在某些情况下，如果使用不当，它可能会被攻击者利用来执行任意代码，从而导致安全漏洞。

（一）函数特性与风险

动态创建函数的功能
- create_function函数接受两个参数，一个是包含函数参数的字符串，另一个是包含函数体的字符串。它会在运行时创建一个新的函数，并返回该函数的名称，以便后续调用。
- 例如：$func = create_function('$a', 'return $a * 2;');创建了一个将输入参数乘以 2 的函数，然后可以通过$func(5);来调用这个函数，返回结果 10。
安全风险
- 如果用户输入能够影响create_function函数的参数，攻击者就可以构造恶意的函数体，从而执行任意 PHP 代码。例如，如果用户输入被直接用于create_function函数的函数体参数，攻击者可以注入恶意命令，如system('ls');来执行系统命令。

（二）操作过程及示例

漏洞利用示例
- 假设在一个 PHP 应用程序中，存在用户可控的输入，且该输入被用于create_function函数的构建。
- 攻击者可以构造恶意输入，例如：
  - 假设用户输入被赋值给变量$user_input，攻击者构造$user_input = ');system(\'id\');//';（这里通过巧妙的构造，使create_function函数在创建函数时执行了system('id')命令来获取当前用户信息）。
  - 然后在代码中存在$func = create_function('$a', $user_input);这样的语句，当执行到这一行时，就会执行攻击者注入的system('id')命令。
- 操作步骤：
  - 分析目标应用程序代码，找到使用create_function函数且用户输入可控的位置。
  - 构造恶意的用户输入，如上述示例中的命令注入形式。
  - 触发包含create_function函数的代码执行，观察是否成功执行注入的恶意命令。

（三）防范措施

输入验证
- 对所有输入到create_function函数参数的用户数据进行严格的验证和过滤。确保用户输入只包含合法的字符和数据格式，不允许包含可能导致代码执行的特殊字符或命令。
避免直接使用用户输入
- 尽量避免将用户输入直接用于create_function函数的参数构建。如果可能，可以对用户输入进行预处理或转换，使其无法影响函数的行为，或者使用更安全的函数替代create_function。
代码审查与安全审计
- 定期对代码进行审查，特别是涉及到create_function函数的使用部分。检查是否存在潜在的安全风险，及时发现并修复可能的漏洞。

无字母数字 RCE 和create_function函数相关的漏洞利用技术在 Web 安全领域具有重要意义。攻击者不断探索新的方法来绕过安全限制，而防御者则需要深入理解这些技术，采取有效的防范措施来保护 Web 应用程序的安全。同时，安全研究人员也应持续关注这些技术的发展，以便及时发现和应对新的安全威胁。