首页 / PHP / [代码审计]PHP_Bugs题目总结(2)

[代码审计]PHP_Bugs题目总结(2)

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了[代码审计]PHP_Bugs题目总结(2)，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含4733字，纯文字阅读大概需要7分钟。

内容图文

写的有点多了，上一篇放在一起显得有点臃肿，就再起一篇吧~

0x14 intval函数四舍五入

        <?php
if($_GET[id]) {
mysql_connect(SAE_MYSQL_HOST_M . ':' . SAE_MYSQL_PORT,SAE_MYSQL_USER,SAE_MYSQL_PASS);
mysql_select_db(SAE_MYSQL_DB);
$id = intval($_GET[id]); ## 这里过滤只有一个intval
$query = @mysql_fetch_array(mysql_query("select content from ctf2 where id='$id'"));
if ($_GET[id]==1024) {
    echo "<p>no! try again</p>";
    }
  else{
    echo($query[content]);
  }
}

        payload:?a=1024.1

intval 函数最大的值取决于操作系统:

        32 位系统最大带符号的 integer 范围是 -2147483648 到 2147483647。
64 位系统上，最大带符号的 integer 值是 9223372036854775807。

浮点数精度忽略

        if ($req["number"] != intval($req["number"]))

在小数小于某个值（10^-16）以后，再比较的时候就分不清大小了。输入number = 1.00000000000000010, 右边变成1.0, 而左与右比较会相等

0x15 截断

15.1 iconv 异常字符截断

因iconv遇到异常字符就不转后面的内容了，所以可以截断。

        $a='1'.char(130).'2';
echo iconv("UTF-8","gbk",$a); //将字符串的编码从UTF-8转到gbk
echo iconv('GB2312', 'UTF-8', $str); //将字符串的编码从GB2312转到UTF-8

这里chr(128)到chr(255)都可以截断

15.2 eregi、ereg可用%00截断

功能：正则匹配过滤条件：要求php<5.3.4

15.3 move_uploaded_file 用\0截断

5.4.x<= 5.4.39, 5.5.x<= 5.5.23, 5.6.x <= 5.6.7 原来在高版本（受影响版本中），PHP把长度比较的安全检查逻辑给去掉了，导致了漏洞的发生 cve： https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-2348

move_uploaded_file($_FILES[‘x‘][‘tmp_name‘],"/tmp/test.php\x00.jpg")

上传抓包修改name为a.php\0jpg（\0是nul字符），可以看到$_FILES[‘xx’][‘name’]存储的字符串是a.php，不会包含\0截断之后的字符，因此并不影响代码的验证逻辑。

但是如果通过$_REQUEST方式获取的，则可能出现扩展名期望值不一致的情况，造成“任意文件上传”。

15.4 inclue用?截断

        <?php
$name=$_GET['name'];  
$filename=$name.'.php';  
include $filename;  
?>

当输入的文件名包含URL时，问号截断则会发生，并且这个利用方式不受PHP版本限制，原因是Web服务其会将问号看成一个请求参数。

测试POC：

        http://127.0.0.1/test/t1.php?name=http://127.0.0.1/test/ddd.txt?

则会打开ddd.txt中的文件内容。本测试用例在PHP5.5.38版本上测试通过。

技术分享图片

0x16 strpos数组与ereg正则

这个就不讲了，上面有类似的。一个用数组构成NULL，或者用%00去截断ereg

0x17 SQL注入or绕过

这个看着有点乱，有时间再整理。

0x18 十六进制与数字比较

        <?php

error_reporting(0);
function noother_says_correct($temp)
{
    $flag = 'flag{test}';
    $one = ord('1');  //ord — 返回字符的 ASCII 码值
    $nine = ord('9'); //ord — 返回字符的 ASCII 码值
    $number = '3735929054';
    // Check all the input characters!
    for ($i = 0; $i < strlen($number); $i++)
    { 
        // Disallow all the digits!
        $digit = ord($temp{$i});
        if ( ($digit >= $one) && ($digit <= $nine) )
        {
            // Aha, digit not allowed!
            return "flase";
        }
    }
    if($number == $temp)
        return $flag;
}
$temp = $_GET['password'];
echo noother_says_correct($temp);

?>

这里，它不让输入1到9的数字，但是后面却让比较一串数字，平常的方法肯定就不能行了。

在php里面，0x开头则表示16进制，将这串数字转换成16进制之后发现，是deadc0de，在开头加上0x，代表这个是16进制的数字，然后再和十进制的 3735929054比较，答案当然是相同的，返回true拿到flag

0x19 数字验证正则绕过

        <?php
error_reporting(0);
$flag = 'flag{test}';
if  ("POST" == $_SERVER['REQUEST_METHOD'])
{
    $password = $_POST['password'];
    if (0 >= preg_match('/^[[:graph:]]{12,}$/', $password)) //preg_match — 执行一个正则表达式匹配
    {
        echo 'Wrong Format';
        exit;
    }
    while (TRUE)
    {
        $reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/';
        if (6 > preg_match_all($reg, $password, $arr))
            break;
        $c = 0;
        $ps = array('punct', 'digit', 'upper', 'lower'); //[[:punct:]] 任何标点符号 [[:digit:]] 任何数字  [[:upper:]] 任何大写字母  [[:lower:]] 任何小写字母
        foreach ($ps as $pt)
        {
            if (preg_match("/[[:$pt:]]+/", $password))
                $c += 1;
        }
        if ($c < 3) break;
        //>=3，必须包含四种类型三种与三种以上
        if ("42" == $password) echo $flag;
        else echo 'Wrong password';
        exit;
    }
}
?>

逐步看一下：

0 >= preg_match(‘/^[[:graph:]]{12,}$/‘, $password)意为必须是12个字符以上（非空格非TAB之外的内容）

        $reg = '/([[:punct:]]+|[[:digit:]]+|[[:upper:]]+|[[:lower:]]+)/'; 
if (6 > preg_match_all($reg, $password, $arr))

意为匹配到的次数要大于6次

        $ps = array('punct', 'digit', 'upper', 'lower'); //[[:punct:]] 任何标点符号 [[:digit:]] 任何数字  [[:upper:]] 任何大写字母  [[:lower:]] 任何小写字母 
foreach ($ps as $pt) 
{ 
    if (preg_match("/[[:$pt:]]+/", $password)) 
        $c += 1; 
} 
if ($c < 3) break;

意为必须要有大小写字母，数字，字符内容三种与三种以上

        if ("42" == $password) echo $flag;

答案：

        42.00e+00000000000 
或
420.000000000e-1

我太难了~

0x20 弱类型整数大小比较绕过

前几天有些过弱类型的总结：

[代码审计]php弱类型总结

0x21 md5函数验证绕过

        if(md5($temp)==0) 要使md5函数加密值为0

方法一：使password不赋值，为NULL，NULL == 0为true http://127.0.0.1/php_bug/23.php?password= http://127.0.0.1/php_bug/23.php

方法二：经过MD5运算后，为0e******的形式，其结果为0*10的n次方，结果还是零 http://127.0.0.1/php_bug/23.php?password=240610708 http://127.0.0.1/php_bug/23.php?password=QNKCDZO

0x22 md5函数true绕过注入

这道题就只看这一句话：

        $sql = "SELECT * FROM users WHERE password = '".md5($password,true)."'";

md5($password,true) 的作用就是将md5后的hex转换成字符串

如果包含‘or‘xxx这样的字符串，那整个sql变成：

SELECT * FROM admin WHERE pass = ‘‘or‘xxx‘

这就相当于自己转换成了一个万能密码....

        字符串：ffifdyop
md5后，276f722736c95d99e921722cf9ed621c hex转换成字符串： 'or'6<trash>

0x23 switch没有break 字符与0比较绕过

不能一口吃出个胖子，先把上面消化消化，再续写这三个点

0x24 unserialize()序列化

不能一口吃出个胖子，先把上面消化消化，再续写这三个点

0x25 利用提交数组绕过逻辑

不能一口吃出个胖子，先把上面消化消化，再续写这三个点

0x26 参考链接

https://github.com/bowu678/php_bugs

https://www.ddosi.com/b174/

还有许多记不清了

原文：https://www.cnblogs.com/-mo-/p/11657030.html

内容总结

以上是互联网集市为您收集整理的[代码审计]PHP_Bugs题目总结(2)全部内容，希望文章能够帮你解决[代码审计]PHP_Bugs题目总结(2)所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1327954.html

来源：【匿名】

【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【[代码审计]PHP_Bugs题目总结(2)】教程文章相关的互联网学习教程文章

[代码审计]PHP_Bugs题目总结(2)【代码】【图】

写的有点多了，上一篇放在一起显得有点臃肿，就再起一篇吧~迷路的老铁点这里：[代码审计]PHP_Bugs题目总结(1)0x14 intval函数四舍五入<?php if($_GET[id]) { mysql_connect(SAE_MYSQL_HOST_M . ':' . SAE_MYSQL_PORT,SAE_MYSQL_USER,SAE_MYSQL_PASS); mysql_select_db(SAE_MYSQL_DB); $id = intval($_GET[id]); ## 这里过滤只有一个intval $query = @mysql_fetch_array(mysql_query("select content from ctf2 where id='$id'")); ...

PHP学习总结（一）【代码】

》PHP 面向对象使用parent访问父类的构造方法（__construct）时一定要为当前类继承要访问的构造方法类的构造方法（__construct）在实例化时直接被加载，静态方法不需要实例化静态成员（static）访问方法：self::$abc函数 spl_autoload_register(方法) 仅在使用不存在类时被触发该方法，并传入一个类名实例化PDO类时如果当前文件有命名空间（namespace），则输出后会报错该目录下不存在PDO类，所以必须在PDO前加一个反斜杠：\PDO实例...

Memcached 笔记与总结（6）PHP 实现 Memcached 的一致性哈希分布算法【代码】

首先创建一个接口，有 3 个方法：addServer：添加一个服务器到服务器列表中removeServer：从服务器列表中移除一个服务器lookup：在当前的服务器列表中找到合适的服务器存放数据interface distribute{//在当前的服务器列表中找到合适的服务器存放数据publicfunction lookup($key);//添加一个服务器到服务器列表中publicfunction addServer($server);//从服务器列表中删除一个服务器publicfunction removeServer($server); } 再定义一...

PHP进阶知识总结【代码】

周末梳理了下这段时间看书的一些知识点，进步的过程不仅要实践，还要安排多看书、思考、总结。只针对知识点进行了罗列和简单说明，很多细节还未整理好，待后面再专门详细写。基础易忽略概念 PHP是一个支持面向对象开发的语言，而不是一个纯面向对象的语言PHP5中保留了对var的支持，但会将var自动转换为public类型检查函数：is_bool() is_integer() is_double() is_string() is_object() is_array() is_resource() is_null() PHP魔...

PHP中文乱码的常见解决方法总结

PHP中文乱码是PHP开发中的常见问题之一。PHP中文乱码有时发生在网页本身，有些产生在于MySQL交互的过程中，有时与操作系统有关。下面进行一番总结。一．首先是PHP网页的编码1. php文件本身的编码与网页的编码应匹配a. 如果欲使用gb2312编码，那么php要输出头：header(“Content-Type: text/html; charset=gb2312")，静态页面添加<meta http-equiv="Content-Type" content="text/html; charset=gb2312">，所有文件的编码格式为ANSI，...

PHP基础知识总结（三）流程控制、函数、类对象和数据库【代码】

PHP基础语法1、流程控制　　条件语句：if elseif else / switchif($a == 1){……} elseif ($a == 2){……} else{……} 循环语句：for foreachfor ($i = 1; $i <= 10; $i++) {echo$i; }foreach($arras$key => $value){ //一维数组循环键和值 …… }foreach($arras$key => $value){ //二维数组循环键和值foreach($valueas$value2){ //可以在循环中直接取值 ……} } 2、函数：一次...

PHP排序算法的复习和总结【代码】

对于PHP中对数组的元素进行排序，这个是很经常用到的，之前的项目中也有，而且对于几种排序我们都是用的是asort arsort 等PHP原生函数，没有自己去实现，所以就对一下的几个函数进行总结，这个会不断的进行补充，自己也可以好好的复习和总结。直接上代码吧！ 1 <?php2/* 3 * 插入排序（一维数组）4 * 每次将一个待排序的数据元素，插入到前面已经排好序的数列中的适当的位置，使数列依然有序；直到待排序的数据元素全部插入完成...

php项目心得以及总结

经过一学期的php课程学习，对于PHP的函数和一些语法，更加了解了。这次项目主要使用了面向过程的开发方法，在开发过程熟悉掌握php一些常用的函数以及php数组的使用以及文件上传功能等。　　学东西，永远不要妄想有速成这一说，告诉你了一个方式，但是缺少努力这一环节，那也是白搭。掌握好的学习方法非常必要,看看这篇如何学习php/学习php的方法　　相信大家选择一种语言，并不是看它的背景和悠久历史，更重要的是看它的实用性，华...

PHP反序列化漏洞总结【代码】【图】

写在前边　　做了不少PHP反序列化的题了，是时候把坑给填上了。参考了一些大佬们的博客，自己再做一下总结1.面向对象2.PHP序列化和反序列化3.PHP反序列化漏洞实例1.面向对象　　在了解序列化和反序列化之前，先简单了解一下PHP的面向对象。　　万物皆可对象。根据官方手册，PHP中，以关键字class定义一个类，一个类可以包含有属于自己的常量，变量（称为“属性”）以及函数（称为“方法”）。class People {//声明属性public$name;...

PHP GD库生成图像的几个函数总结

使用GD库中提供的函数动态绘制完成图像以后，就需要输出到浏览器或者将图像保存起来。在PHP中，可以将动态绘制完成的画布，直接生成GIF、JPEG、PNG和WBMP四种图像格式。可以通过调用下面四个函数生成这些格式的图像：复制代码代码如下:bool imagegif(resource $image[,string $filename]) //以GIF格式将图像输出bool imagejpeg(resource $image[,string $filename[,int $quality]]) ...

Memcached 笔记与总结（2）编译 php-memcache 扩展【代码】【图】

环境：CentOS 6.6 + Apache 2.2.21 + PHP 5.3.10 php-memcache 是 php 写的 memcached 的客户端，以扩展的形式发布。对于正在运行的 php，不可能去整体重新编译 php，只能编译扩展。 php 扩展编译（的通用方法，以 memcached 扩展为例）① 到软件的官方网站，如 memcached 的官网，或 pecl.php.net 寻找扩展源码并下载，以 pecl.php.net 为例，搜索 memcached以 memcache 为例，下载其稳定版 2.2.7：http://pecl.php.net/get/mem...

php中自己总结的函数（持续更新）【代码】

每一种编程语言在用的过程中都会发现有时候要一种特定需求的功能函数，结果没有内置这样的函数，这个时候就需要自己根据已有函数编写尽可能简单的函数，下面是我在做php相关工作时积累下的函数，会持续更新，您要是有好的也可以推荐给我，我在这里统一展示给大家。第一，生成随机字符串代码如下面所示，要注意以下，查看手册可以看到，php在版本4.2.0以前生成随机数时，需要先给随机数发生器播种，PHP_VERSION>4.2.0的版本，系统自...

php代码执行/命令执行总结【代码】【图】

代码执行eval(PHP 4, PHP 5, PHP 7)eval( string $code) : mixed 把字符串 code 作为PHP代码执行。eval($_POST[‘c‘]); 直接蚁剑链接密码为cassert(PHP 4, PHP 5, PHP 7)assert( mixed $assertion[, Throwable $exception]) : bool 如果 assertion 是字符串，它将会被 assert() 当做 PHP 代码来执行。使用方法同evalassert($_POST[‘c‘]); preg_replace(PHP 4, PHP 5, PHP 7)preg_replace ( mixed $pattern,mixed $replacement ,...

超实用PHP函数总结整理【代码】

超实用PHP函数总结整理2014-12-06 分类：WEB开发、编程开发、首页精华暂无人评论来源：月光光博客分享到：更多81、PHP加密解密PHP加密和解密函数可以用来加密一些有用的字符串存放在数据库里，并且通过可逆解密字符串，该函数使用了base64和MD5加密和解密。function encryptDecrypt($key, $string, $decrypt){ if($decrypt){ $decrypted = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, md5($key), base64_decode($string), ...

为你总结一些php信息函数【代码】

PHP信息函数包含的一些函数概念总结如下。PHP信息函数之getenv适用版本：PHP3, PHP4 函数功能：取得环境变量数值。函数语法：string getenv (string varname) 函数说明：这个函数能够返回 PHP 的环境变量数值, 可以利用这个函数取得相关数据。范例程序： < ?PHP $ip=getenv ("REMOTE_ADDR"); echo "客户端的 IP 是：".$IP; ?>执行结果：此结果因用户不同而不同。PHP信息函数之get_current_user适用版本：PHP3, PHP4 函数功能：...

PHP - 技术教程分类

PHP 教程 PHP 简介 PHP 安装 PHP 语法 PHP 变量 PHP echo/print PHP EOF(heredoc) PHP 数据类型 PHP 类型比较 PHP 常量 PHP 字符串 PHP 运算符 PHP If...Else PHP Switch PHP 数组 PHP 数组排序 PHP 超级全局变量 PHP While 循环 PHP For 循环 PHP 函数 PHP 魔术常量 PHP 命名空间 PHP 面向对象 PHP 测验 PHP 表单 PHP 表单验证 PHP 表单 - 必需字段 PHP 完整表单实例 PHP $_GET 变量 PHP $_POST 变量 PHP 多维数组 PHP 日期 PHP 包含 PHP 文件 PHP 文件上传 PHP Cookie PHP Session PHP E-mail PHP Error PHP Exception PHP 过滤器 PHP 7 新特性 PHP MySQL 简介 PHP MySQL 连接 PHP MySQL 创建数据库 PHP MySQL 创建数据表 PHP MySQL 插入数据 PHP MySQL 插入多条数据 PHP MySQL 预处理语句 PHP MySQL 读取数据 PHP MySQL Where PHP MySQL Order By PHP MySQL Update PHP MySQL Delete PHP ODBC AJAX 简介 AJAX PHP AJAX 数据库 AJAX 实时搜索 AJAX 投票 PHP Array PHP Calendar PHP cURL PHP Date PHP Directory PHP Error PHP Filesystem PHP Filter PHP FTP PHP HTTP PHP Mail PHP Math PHP Misc PHP MySQLi PHP PDO PHP String PHP Zip PHP Timezones PHP 图像处理 PHP RESTful PHP PCRE PHP 可用的函数 PHP Composer php 全部

PHP - 最热教程

php如何取出数组的前几个元素 PHP变量什么时候释放 PHP如何实现在数据库随机获取几条记录如何解决php base64解码乱码 php主要用于哪些领域 Laravel 批量插入(insert)数据六款国内优秀免费wordpress主题推荐 React如何从后端获取数据并渲染到前端？纯PHP实现定时器任务（Timer），php实现...php该如何安装pdo_mysql扩展

首页 / PHP / [代码审计]PHP_Bugs题目总结(2)

[代码审计]PHP_Bugs题目总结(2)

内容导读

内容图文

0x14 intval函数四舍五入

浮点数精度忽略

0x15 截断

15.1 iconv 异常字符截断

15.2 eregi、ereg可用%00截断

15.3 move_uploaded_file 用\0截断

15.4 inclue用?截断

0x16 strpos数组与ereg正则

0x17 SQL注入or绕过

0x18 十六进制与数字比较

0x19 数字验证正则绕过

0x20 弱类型整数大小比较绕过

0x21 md5函数验证绕过

0x22 md5函数true绕过注入

0x23 switch没有break 字符与0比较绕过

0x24 unserialize()序列化

0x25 利用提交数组绕过逻辑

0x26 参考链接

内容总结

内容备注

内容手机端

【[代码审计]PHP_Bugs题目总结(2)】教程文章相关的互联网学习教程文章

代码 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程