CTF中常见的PHP知识点
2018-01-12 本文已影响1520人
ch3ckr
PHP是一门比较松散的语言，既方便，又容易出现一些问题。本文主要概括一些常见的PHP弱类型，正则表达式函数跟变量覆盖的内容，在CTF这方面也经常出现在代码审计相关的题目中。
一、弱类型
0x01 "=="与"==="的区别
在使用"=="时会自动转换类型，而"==="则是校验类型，而非转换。
1 == '1'; //true
1 == '1abcdef'; //true
0 == 'abcdefg'; //true
0 === 'abcdefg'; //false
0x02 Hash比较
使用"=="时，如果字符串满足0e\d+，解析为科学计数法，否则视为正常字符串。
"0e132456789" == "0e7124511451155" //true
"0e123456abc" == "0e1dddada" //false
"0e1abc"=="0" //true
md5('240610708') == md5('QNKCDZO') //true
0e开头的md5：
QNKCDZO
0e830400451993494058024219903391
s878926199a
0e545993274517709034328855841020
s155964671a
0e342768416822451524974117254469
s214587387a
0e848240448830537924465865611904
s214587387a
0e848240448830537924465865611904
s878926199a
0e545993274517709034328855841020
s1091221200a
0e940624217856561557816327384675
s1885207154a
0e509367213418206700842008763514
0x03 传入数组返回null系列
md5()是不能处理数组的，md5(数组)会返回null，同理的有sha1()，strlen()，eregx()。
$array1[] = array(
"foo" => "bar",
"bar" => "foo",
);
$array2 = array("foo", "bar", "hello", "world");
var_dump(md5($array1)==var_dump($array2)); //true
0x04 十六进制转换
使用"=="时，PHP会将十六进制转换为十进制然后再进行比较
"0x1e240"=="123456" //true
"0x1e240"==123456 //true
"0x1e240"=="1e240" //false
0x05 intval()函数
intval()函数会将从字符串的开始进行转换直到遇到一个非数字的字符。
如果出现无法转换的字符串，intval()不会报错而是返回0。
if(intval($a)>1000) {
mysql_query("select * from news where id=".$a)
}
这个时候$a的值有可能是1002 union…..
0x6 strcmp()函数
strcmp函数比较字符串的本质是将两个变量转换为ascii，然后进行减法运算。
在PHP5.3版本之后使用这个函数比较array跟sring会返回0。
$array=[1,2,3];
var_dump(strcmp($array,'123')); //null,在某种意义上null也就是相当于false。
0x07 switch()函数
如果switch是数字类型的case的判断时，switch会将其中的参数转换为int类型。
$i ="2abc";
switch ($i) {
case 0:
case 1:
case 2:
echo "i is less than 3 but not negative";
break;
case 3:
echo "i is 3";
}
0x08 in_array(),array_search()函数
bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] ),
如果strict参数没有提供，那么in_array就会使用松散比较来判断$needle是否在$haystack中。
当strince的值为true时，in_array()会比较needls的类型和haystack中的类型是否相同。
$array=[0,1,2,'3'];
var_dump(in_array('abc', $array)); //true
var_dump(in_array('1bc', $array)); //true
0x09 is_numeric()函数
当有两个is_numeric判断并用and连接时，and后面的is_numeric可以绕过.
"="优先级比and高。
<?php
$a=$_GET['a'];
$b=$_GET['b'];
$c=is_numeric($a) and is_numeric($b);
var_dump(is_numeric($a));
var_dump(is_numeric($b));
var_dump($c); //$b可以不是数字，同样返回true
$test=true and false;
var_dump($test); //返回true
?>
16进制也可以绕过is_numeric()检验，可以用来绕过sql注入里的过滤.
<?php
$a = is_numeric ( $_GET ['a'] ) ? $_GET ['a'] : 0;
$con = mysql_connect ( 'localhost', 'root', 'root' );
mysql_select_db ( 'test' );
$sql = 'insert into a values(' . $a . ',"a")';
mysql_query ( $sql );
?>
test.php?a=0x31206f7220313d31时，数据库中成功插入值
0x10 json绕过
输入一个json类型的字符串，json_decode函数解密成一个数组，
判断数组中key的值是否等于 $key的值，但是$key的值我们不知道，
但是可以利用0=="admin"这种形式绕过
最终payload message={"key":0}
<?php
if (isset($_POST['message'])) {
$message = json_decode($_POST['message']);
$key ="*********";
if ($message->key == $key) {
echo "flag";
}
else {
echo "fail";
}
}
else{
echo "~~~~";
}
?>
二、正则表达式
0x01 eregi()函数
1. 字符串对比解析，当ereg读取字符串string时,%00后面的字符串不会不会被解析。
#这里 a=abcd%001234，可以绕过
<?php
if (ereg ("^[a-zA-Z]+$", $_GET['a']) === FALSE) {
echo 'You password must be alphabet';
}
?>
2. 如果传入数组，ereg返回NULL
0x02 preg_match函数
如果在进行正则表达式匹配的时候，没有限制字符串的开始和结束(^ 和 $)，则可以存在绕过的问题.
$ip = '1.1.1.1 abcd'; // 可以绕过
if(!preg_match("/(\d+)\.(\d+)\.(\d+)\.(\d+)/",$ip)) {
die('error');
} else {
// echo('key...')
}
0x03 preg_replace函数
preg_replace() 的第一个参数如果存在 /e 模式修饰符，则允许代码执行。
如果没有 /e 修饰符，可以尝试 %00 截断。
<?php
preg_replace("/test/e",$_GET["nac"],"jutst test");
?>
?nac=phpinfo() #可以被执行
三、变量覆盖
0x01 extract()函数
extract() 函数从数组中把变量导入到当前的符号表中。
对于数组中的每个元素，键名用于变量名，键值用于变量值。
<?php
$auth = '0';
// 这里可以覆盖$auth的变量值
extract($_GET);
if($auth == 1){
echo "private!";
} else{
echo "public!";
}
?>
0x02 parse_str()函数
parse_str() 的作用是解析字符串，并注册成变量.
与 parse_str() 类似的函数还有 mb_parse_str()，parse_str() 将字符串解析成多个变量，
如果参数 str 是 URL 传递入的查询字符串(query string)，则将它解析为变量并设置到当前作用域.
//var.php?var=new
$var='init';
parse_str($_SERVER['QUERY_STRING']);
// $var 会变成 new
echo $var;
0x03 $$的使用
如果把变量本身的 key 也当变量，也就是使用了 $$，就可能存在问题。
// http://127.0.0.1/index.php?_CONFIG=123
$_CONFIG['extraSecure'] = true;
foreach(array('_GET','_POST') as $method) {
foreach($$method as $key=>$value) {
// $key == _CONFIG
// $$key == $_CONFIG
// 这个函数会把 $_CONFIG 变量销毁
unset($$key);
}
}
if ($_CONFIG['extraSecure'] == false) {
echo 'flag {****}';
}
0x04 unset()
unset($bar); 用来销毁指定的变量，如果变量 $bar 包含在请求参数中，
可能出现销毁一些变量而实现程序逻辑绕过。
