由php中字符offset特征造成的绕过漏洞详解

《PHP实例：由PHP中字符offset特征造成的绕过漏洞详解》要点：
本文介绍了PHP实例：由PHP中字符offset特征造成的绕过漏洞详解，希望对您有用。如果有疑问，可以联系我们。

PHP中的字符offset特性PHP编程

PHP中的字符串存在一个非常有趣的特性,PHP中的字符串也可以像数组一样进行取值.PHP编程

$test = "hello world";
echo $test[0];

最后的结果就是h.
PHP编程

但是上述的这种特性有时会有意想不到的效果,看下面这段代码PHP编程

$mystr = "hello world";
echo $mystr["pass"];

上述的代码的输出结果是h.这是为什么呢?其实很简单,和很多其他的语言一样,字符串在PHP中也像数组一样可以使用下标取值.$mystr["pass"]中pass会被进行隐性类型转换为0,这样$mystr[0]的输出结果就是首字母h.
同样地,如果尝试如下的代码：PHP编程

$mystr = "hello world";
echo $mystr["1pass"];

输出结果就是e.因为1pass会被隐性类型转换为1,$mystr[1]的输出结果就是第二个字母e.PHP编程

字符特性造成的漏洞PHP编程

下面这段代码是在在PHPspy2006中用于判断登录时所使用的代码.PHP编程

$admin['check'] = "1";
$admin['pass'] = "angel";
......
if($admin['check'] == "1") {
....
}

这样的验证逻辑如果利用上述的特性就很容易地就可以被绕过.$admin没有被初始定义为数组类型,那么当我们用字符串提交时PHPsyp.PHP?admin=1abc时,PHP会取字符串1xxx的第一位,成功绕过if的条件判断.PHP编程

上面那段代码是一个代码片段,接下来的这段代码是一段完整的逻辑代码,来自于PHP4fun中第5题,比较有意思.PHP编程

<?PHP
# GOAL: overwrite password for admin (id=1)
#  Try to login as admin
# $yourInfo=array( //this is your user data in the db
# 'id' => 8,# 'name' => 'jimbo18714',# 'pass' => 'MAYBECHANGED',# 'level' => 1
# );
require 'db.inc.PHP';
function mres($str)
{
 return MysqL_real_escape_string($str);
}
$userInfo = @unserialize($_GET['userInfo']);
$query = 'SELECT * FROM users WHERE id = \'' . mres($userInfo['id']) . '\' AND pass = \'' . mres($userInfo['pass']) . '\';';
$result = MysqL_query($query);
if (!$result || MysqL_num_rows($result) < 1) {
 die('Invalid password!');
}
$row = MysqL_fetch_assoc($result);
foreach ($row as $key => $value) {
 $userInfo[$key] = $value;
}
$oldPass = @$_GET['oldPass'];
$newPass = @$_GET['newPass'];
if ($oldPass == $userInfo['pass']) {
 $userInfo['pass'] = $newPass;
 $query = 'UPDATE users SET pass = \'' . mres($newPass) . '\' WHERE id = \'' . mres($userInfo['id']) . '\';';
 MysqL_query($query);
 echo 'Password Changed.';
} else {
 echo 'Invalid old password entered.';
}

这道题目网上也仅仅只是给了一个最终的答案,其中的原理都没有说或者没有说得很详细.其实原理就是上面讲到的PHP的字符特性.
PHP编程

题目要求很简单就是修改admin的密码,admin的id为1.我们需要思考以下几个问题：PHP编程

如何在更新的时候将id修改为1
$userInfo['pass'] = $newPass;这行代码有什么作用,为什么会在if判断语句中存在这种的代码

想通了这两个问题,那么最终的解决方法也有了.将id为8的用户的密码修改为8,然后传入一个userInfo的字符串‘8',突破查询防护,最后利用$userInfo['pass'] = $newPass将id修改为1.
PHP编程

最终的payload就是；
PHP编程

第一次提交,index.PHP?userInfo=a:2:{s:2:"id";i:8;s:4:"pass";s:12:"MAYBECHANGED";}&oldPass=MAYBECHANGED&newPass=8,目的是将id为8的用户的密码修改为8
PHP编程

第二次提交,index.PHP?userInfo=s:1:"8";&oldPass=8&newPass=1,这样序列化$userInfo得到的就是字符串‘8',即$userInfo = ‘8' ,这样数据库查询验证就可以通过.之后的if验证也可以通过,通过这行代码$userInfo['pass'] = $newPass;,由于$newpass的值为1,那么上述代码变为了$userInfo['pass'] = 1;,$userInfo由于一个字符串类型,最后得到的是$userInfo='1' ,最后就可以更新id为1的用户的密码了.PHP编程

修复方式PHP编程

这种漏洞的修复方式也很简单,事先定义好数据类型同时在使用时最好检查一下所使用的数据类型是否和预期的一致.否则就会出现上述的绕过的问题.同时要控制好输入,对输入的数据要进行检查不要随意地使用.PHP编程

参考PHP编程

https://github.com/80vul/webzine/blob/master/webzine_0x06/PSTZine_0x06_0x03.txtPHP编程

总结PHP编程

以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作能带来一定的帮助,如果有疑问大家可以留言交流,谢谢大家对编程之家的支持.PHP编程

由php中字符offset特征造成的绕过漏洞详解

相关文章