PHP中的变量覆盖漏洞

道可道道尽道 發表於 2020-3-28 14:29:00

<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 简介</h2>
今天利用周六整理了一下 php覆盖的漏洞
榆林学院的同学可以使用协会内部实验平台进行实验操作。
<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 1.extract()变量覆盖</h2>
1.extract()
extract() 函数从数组中将变量导入到当前的符号表。
该函数使用数组键名作为变量名，使用数组键值作为变量值。针对数组中的每个元素，将在当前符号表中创建对应的一个变量。
该函数返回成功设置的变量数目。
<div class="cnblogs_code">
<pre>extract(array,extract_rules,prefix)</pre>
</div>
参考引用:https://www.runoob.com/php/func-array-extract.html
eg：
<div class="cnblogs_code">
<pre><?php
extract($_GET);

echo $name.' ';
echo $age.' ';
echo $phone.' ';

//GET传参:?name=xiaohua&age=22&phone=112323123

//结果:
// xiaohua
// 22
// 112323123
?></pre>
</div>
2.CTF中extract()导致的变量覆盖
<div class="cnblogs_code">
<pre><?php
$flag='flag.php';
extract($_GET);
if(isset($ceshi))
{
$content=trim(file_get_contents($flag));
if($ceshi==$content)
{
echo'flag{xxxxxxx}';
}
else
{
echo'Oh.no';
}
}
?></pre>
</div>
我们大致分析是要求我们GET传参进去值会经过extract()函数 下来会有两个if 第一个if判断 ceshi这个变量是否存在存在则继续执行if里面的
使用file_get_contents()读取flag变量里面的文件传递给content变量之后 再进行判断传进来ceshi变量的值等不等于$content如果等于则打印出flag!
这里我们构造因为通过extract()函数我们传进的值会变成一个变量  例如我们GET传入 ceshi=1 则会存在$ceshi=1  所以我们构造GET传参pyaload:
<div class="cnblogs_code">
<pre>GET传参payload:$ceshi=&$flag=</pre>
</div>
这样再程序中会有两个为空的变量而$flag=空则覆盖了上面的$flag中的值这样进行判断都是空的所以为真则得到flag
3.漏洞修复
不要使用。。。。 参考官方文档修改extract_rules 里面的值为EXTR_SKIP  eg:
<div class="cnblogs_code">
<pre>extract($_GET,EXTR_SKIP); </pre>
</div>
 
<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 2.PHP动态变量覆盖</h2>
1.动态变量覆盖
PHP动态变量是指一个变量名的变量名可以动态的设置和使用，一个变量获取另一个变量的值作为这个变量的变量名。
<div class="cnblogs_code">
<pre><?php
$bar= "a";
$Foo="Bar";
$World="Foo";
$Hello="world";
$a="Hello";

echo $a; //hello
echo $$a; //world
echo $$$a; //foo
echo $$$$$a; //Bar
echo $$$$$$a; //a
echo $$$$$$$a; //hello
echo $$$$$$$$a; //world

?> </pre>
</div>
 
CTF中的动态变量覆盖
https://www.cnblogs.com/xhds/p/12586928.html  CTF中的动态变量覆盖
 
3.漏洞修复
避免使用这个
<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 3.parse_str()变量覆盖</h2>
1.parse_str()
parse_str() 函数把查询字符串解析到变量中。
注释：如果未设置 array 参数，由该函数设置的变量将覆盖已存在的同名变量。
注释：php.ini 文件中的 magic_quotes_gpc 设置影响该函数的输出。如果已启用，那么在 parse_str() 解析之前，变量会被 addslashes() 转换。
<div class="cnblogs_code">
<pre>parse_str(string,array)</pre>
</div>
参考引用:https://www.runoob.com/php/func-string-parse-str.html
eg:
<div class="cnblogs_code">
<pre><?php
parse_str("name=xiaohua&age=22");
echo $name." ";
echo $age;
?>
//xiaohua
//22</pre>
</div>
 
2.CTF中parse_str()导致的变量覆盖
<div class="cnblogs_code">
<pre><?php
error_reporting(0);
$flag="flag{xiaohua-2020}";
if (empty($_GET['id'])) {
show_source(__FILE__);
die();
} else {
$a = "www.xiaohua.com";
$id = $_GET['id'];
@parse_str($id);//
 if ($a != 'QNKCDZO' && md5($a) == md5('QNKCDZO')) {
echo $flag;
} else {
exit("no no");
}
}
?> </pre>
</div>
 
分析代码判断GET传入的id值是否为空为空的话输出源码终止程序，否则的话则接收id值经过parse_str() 然后呢if判断 $a 的值要不等于QNKCDZO
但$a的md5值要等于QNKCDZO这里可以采用Hash比较缺陷 来解决这一步下来就是传入变量覆盖$a的值  因为有parse_str所以我们可以构造payload:
<div class="cnblogs_code">
<pre>payload:http://127.0.0.1/test.php?id=a=s878926199a </pre>
</div>
 
3.漏洞修复
为了防止变量覆盖，尽量使用指定输出变量方式
<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 4.import_request_variables()变量覆盖</h2>
1. import_request_variables()
(PHP 4 >= 4.1.0, PHP 5 < 5.4.0)
 import_request_variables — 将 GET／POST／Cookie 变量导入到全局作用域中
将 GET／POST／Cookie 变量导入到全局作用域中。如果你禁止了 register_globals，但又想用到一些全局变量，那么此函数就很有用。
<div class="cnblogs_code">
<pre>import_request_variables ( string $types [, string $prefix ] ) : bool</pre>
</div>
参考引用:https://www.php.net/manual/zh/function.import-request-variables.php
 
2.CTF中import_request_variables()导致的变量覆盖
<div class="cnblogs_code">
<pre><?php
$num=0;
//include 'flag.php';
import_request_variables('gp'); //导入get和post中变量

if($num=="xiaohua"){
echo 'flag{ xiaohua-2020-3-28}';
// echo $flag.php;
}else{
echo "NO!";
}
?>

//payload：http://127.0.0.1/test.php?num=xiaohua
//flag{ xiaohua-2020-3-28} </pre>
</div>
3.漏洞修复
尽量不要使用....
<h2 id="blogTitle0" style="font-weight: bold; color: rgba(255, 255, 255, 1); font-family: 微软雅黑, 宋体, 黑体, Arial; min-height: 25px; line-height: 25px; opacity: 0.8; background: rgba(0, 221, 221, 1); border-radius: 6px; padding: 8px; border: 1px dashed rgba(0, 221, 221, 1); margin: 18px 5px !important"> 5.PHP全局变量覆盖</h2>
1.register_globals
当register_globals全局变量设置开启时，传递过来的值会被直接注册为全局变量而使用，这会造成全局变量覆盖
在PHP5.3之前默认开启 PHP5.3默认关闭  PHP5.6及5.7已经被移除
 
2.CTF中全局变量覆盖
测试环境:php5.2.17
<div class="cnblogs_code">
<pre><?php
if ($num){
echo "flag{xiaohua-2020-3-28}";
}
?>
//payload：http://127.0.0.1/test.php?num=1
//flag{xiaohua-2020-3-28}</pre>
</div>
 
3.漏洞修复
关闭register_globals=off 或者使用5.6以上版本。。
  
来源：https://www.cnblogs.com/xhds/p/12587249.html

頁: [1]

琼殿技术论坛's Archiver

PHP中的变量覆盖漏洞