PHP弱类型总结

最新推荐文章于 2024-08-16 10:58:15 发布

追艺_年华

最新推荐文章于 2024-08-16 10:58:15 发布

阅读量2k

点赞数

分类专栏： ctf

本文链接：https://blog.csdn.net/qq_38183886/article/details/79374962

版权

ctf 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

最近做ctf题目会经常碰到PHP弱类型的题目，下面做一些总结：

知识介绍：

php中有两种比较的符号 == 与 ===

<?php
$a = $b ;
$a===$b ;
?>

=== 在进行比较的时候，会先判断两种字符串的类型是否相等，再比较
== 在进行比较的时候，会先将字符串类型转化成相同，再比较

如果比较一个数字和字符串或者比较涉及到数字内容的字符串，则字符串会被转换成数值并且比较按照数值来进行

php不会严格检验传入的变量类型，也可以将变量自由的转换类型。

比如在$a == $b的比较中

$a = null; $b = false; //为真  
$a = ''; $b = 0; //同样为真

另外，如果一个数值和字符串进行比较的时候，会将字符串转换成数值

<?php
var_dump("admin"==0);  //true
var_dump("1admin"==1); //true
var_dump("admin1"==1) //false
var_dump("admin1"==0) //true
var_dump("0e123456"=="0e4456789"); //true 
?>

1 、观察上述代码，"admin"==0 比较的时候，会将admin转化成数值，强制转化,由于admin是字符串，转化的结果是0自然和0相等。

2 、"1admin"==1 比较的时候会将1admin转化成数值,结果为1，而“admin1“==1 却等于错误，也就是"admin1"被转化成了0。

3 、"0e123456"=="0e456789"相互比较的时候，会将0e这类字符串识别为科学技术法的数字，0的无论多少次方都是零，所以相等。
应当注意的是：当一个字符串欸当作一个数值来取值，其结果和类型如下:如果该字符串没有包含 '.' ，'e' ， 'E'，并且其数值值在整形的范围之内该字符串被当作int来取值，其他所有情况下都被作为float来取值，该字符串的开始部分决定了它的值，如果该字符串以合法的数值开始，则使用该数值，否则其值为0。

绕过类型：

md5绕过(Hash比较缺陷)

<?php
  if (isset($_GET['Username']) && isset($_GET['password'])) {
      $logined = true;
      $Username = $_GET['Username'];
      $password = $_GET['password'];
  
       if (!ctype_alpha($Username)) {$logined = false;}
       if (!is_numeric($password) ) {$logined = false;}
       if (md5($Username) != md5($password)) {$logined = false;}
       if ($logined){
     echo "successful";
       }else{
            echo "login failed!";
         }
     }
 ?>

题目大意是要输入一个字符串和数字类型，并且他们的md5值相等，就可以成功执行下一步语句

介绍一批md5开头是0e的字符串上文提到过，0e在比较的时候会将其视作为科学计数法，所以无论0e后面是什么，0的多少次方还是0。md5('240610708') == md5('QNKCDZO')成功绕过!

南邮ctf bypass again
打开后看到代码：

if (isset($_GET['a']) and isset($_GET['b'])) {
if ($_GET['a'] != $_GET['b'])
if (md5($_GET['a']) == md5($_GET['b']))
die('Flag: '.$flag);
else
print 'Wrong.';
}

源码要求提交两个不相等的值使他们的md5值严格相等。md5()函数要求接收一个字符串，若传递进去一个数组，则会返回null，即var_dump(md5(array(2))===null);值为bool(true)

可以向$_GET数组传入两个名为a、b的不相等的数组，从而导致md5()均返回空，于是得到flag。构造url：http://chinalover.sinaapp.com/web17/index.php?a[]=0&b[]=1

json绕过

<?php
if (isset($_POST['message'])) {
    $message = json_decode($_POST['message']);
    $key ="*********";
    if ($message->key == $key) {
        echo "flag";
    } 
    else {
        echo "fail";
    }
 }
 else{
     echo "~~~~";
 }
?>

输入一个json类型的字符串，json_decode函数解密成一个数组，判断数组中key的值是否等于 $key的值，但是$key的值我们不知道，但是可以利用0=="admin"这种形式绕过

最终payload message={"key":0}。

strcmp漏洞绕过

<?php
     $password="***************"
      if(isset($_POST['password'])){
 
         if (strcmp($_POST['password'], $password) == 0) {
             echo "Right!!!login success";n
             exit();
         } else {
             echo "Wrong password..";
         }
 ?>