基于intval()函数特性的漏洞绕过

_rev1ve

已于 2023-10-07 22:23:43 修改

阅读量704

点赞数

文章标签：开发语言 php web安全

于 2023-08-18 14:48:43 首次发布

本文链接：https://blog.csdn.net/m0_73512445/article/details/132356059

版权

前言

最近在做ctfshow的时候碰到intval()函数，虽然题目比较简单，却发现有很多的绕过手段，所以写下这篇博客进行总结

intval()函数

函数用于获取变量的整数值。intval函数有个特性:“直到遇上数字或正负符号才开始做转换，在遇到非数字或字符串结束时(\0)结束转换

语法

int intval ( mixed $var [, int $base = 10 ] )

通过使用指定的进制 base 转换（默认是十进制），返回变量 var 的 integer 数值。 intval() 不能用于 object(即是数组)，否则会产生 E_NOTICE 错误并返回 1。

参数	描述
var	要转换成 integer 的数量值。
base	转化所使用的进制。

Note:

如果 base 是 0，通过检测 var 的格式来决定使用的进制：

如果字符串包括了 “0x” (或 “0X”) 的前缀，使用 16 进制 (hex)；否则，
如果字符串以 “0” 开始，使用 8 进制(octal)；否则，
将使用 10 进制 (decimal)。

函数的作用非常简单，就是获取变量的整数值
实例：

echo intval(42);            // 42
echo intval(4.2);           // 4
echo intval('42');          // 42
echo intval('+42');         // 42
echo intval('1e3');         //1000

那我们来看看具体题目中的如何绕过

ctf.show 萌新 web1

源代码

（flag in id = 1000）
if(intval($id) > 999){
        # id 大于 999 直接退出并返回错误
        die("id error");
    }else{
        # id 小于 999 拼接sql语句
        $sql = "select * from article where id = $id order by id limit 1 ";
        echo "执行的sql为：$sql<br>";
        # 执行sql 语句
        $result = $conn->query($sql);
        # 判断有没有查询结果
        if ($result->num_rows > 0) {
            # 如果有结果，获取结果对象的值$row
            while($row = $result->fetch_assoc()) {
                echo "id: " . $row["id"]. " - title: " . $row["title"]. " <br><hr>" . $row["content"]. "<br>";
            }
        }
        # 关闭数据库连接
        $conn->close();
    }

分析一下：
我们先上传参数id，如果小于999，进行sql语句拼接查询
那么我们上传的参数id值要小于999，可是题目提示flag在id=1000，完全是矛盾的