Hacking PHP
Edit by Qsaka
这篇paper只是个人的学习笔记，如有疏漏之处，欢迎指出。
0X01 SQL注入
这里主要是PHP的防范注入的几个配置，注入手法不再赘述
magic_quotes_gpc
对 $_GET $_POST $_COOKIE 变量中的 ' " \ 空字符(NULL) 进行转义。但这个特性在 PHP5.3.0 中已经不推荐使用，并且在 PHP5.4.0 中已经移除。注意它并不会过滤 $_SERVER
magic_quotes_runtime
对从数据库或文件中获取的数据进行过滤，过滤内容与 magic_quotes_gpc 一致。但在PHP5.4中被废弃。
magic_quotes_sybase
将 $_GET $_POST $_COOKIE 变量中的'替换为"，并对空字符(NULL)`进行转义。此选项会完全覆盖magic_quotes_gpc。
safe_mode
safe_mode在 PHP5.3.0 中废弃， PHP 5.4.0 中移除。
0X02 XSS
htmlspecialchars()默认只过滤"
0X06 文件操作
文件操作包括上传，读取，写入，下载，包含，删除。
文件包含
文件包含分为本地文件包含(LFI),远程文件包含(RFI)。进行远程文件包含需要allow_url_include = On。远程文件包含也可以通过PHP的输入/输出流 php:// 或伪协议 data:// 来实现
如果文件包含被加以某种限制，如 include($_GET['file'].'.html')。这里给出几种bypass的方法
- 通过
%00截断的方式来进行包含。但是这要在未对NULL字符进行过滤的情况下。而且在 PHP5.3 之后的版本无法利用。 - 利用多个
.来进行截断。windows下需要>=240个，linux下>=2040个。这种方法同样在 PHP5.3.0 后被修复 - 特别的，当可以进行远程文件包含时，我们可以利用URL中的
? #来实现截断。file=http//www.example.com/shell.php?, 这样.html会被认为成请求参数
文件上传
- 利用apache或iis6.0的解析漏洞
-
php3 php4 php%20绕过 -
%00截断，如1.php%00.jpg - 更改文件头
content-type
0X07 代码执行
代码执行相关函数 eval() assert() preg_replace() call_user_func() call_user_func_array() array_map() array_filter() array_reduce() 等
0X08 命令执行
命令执行相关函数 exec() system() shell_exec() passthru() pcntl_exec() popen() proc_open(), 除此之外被反引号括起的字符串也会被当做命令执行
0X09 变量覆盖
变量覆盖漏洞是指用户传入的变量会将程序内部原有变量的值覆盖。可能引发变量覆盖漏洞的函数有 extract() parse_str()
PHP中的可变变量也可以导致变量覆盖,比如下面的过滤操作
foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
foreach($$_request as $_key => $_value) {
$$_key = addslashes($_value);
}
}
变量覆盖漏洞一般需要和其他的攻击方式进行结合。
0X0B 逻辑漏洞
这里简单列举几种
-
header()跳转后没有exit() -
is_numeric()可用hex绕过，导致二次注入 -
==与=== - 在线支付逻辑漏洞总结
- 验证码安全问题汇总
- 密码找回逻辑漏洞总结
0X0A 权限绕过
权限绕过其实也算逻辑漏洞，分为水平越权和垂直越权两类。
wooyun小川的paper: 我的越权之道
