php ereg漏洞,ereg()截断漏洞

Challenge

error_reporting(0);

show_source(__FILE__);

$flag='you_get_me!';

if (isset (

$_GET['password'])) {

if (

ereg("^[a-zA-Z0-9]+$",$_GET['password']) ===FALSE)

echo  'You password must be alphanumeric';

else if (

strpos($_GET['password'],'--') !==FALSE)

die($flag);

else

echo  'Invalid password';}

?>

Solution

1、ereg()用途

ereg()函数用指定的模式搜索一个字符串中指定的字符串,如果匹配成功返回true,否则,则返回false。搜索字母的字符是大小写敏感的。

可选的输入参数规则包含一个数组的所有匹配表达式,他们被正则表达式的括号分组。

2、题中ereg()正则限制了password的形式，只能是一个或者多个数字、大小写字母

3、strpos() 函数查找字符串在另一字符串中第一次出现的位置(区分大小写)

4、ereg函数存在NULL截断漏洞，导致了正则过滤被绕过,所以可以使用%00截断正则匹配

5、ereg()只能处理字符串的，遇到数组做参数返回NULL，判断用的是 === ，要求类型也相同，而NULL跟FALSE类型是不同的,strpos()的参数同样不能为数组，否则返回NULL，而判断用的是 !== ，所以这里的条件成立，也能得到flag