Myluzh Blog

Strive to become a dream architect.

PHP弱类型比较与引发漏洞的总结

发布时间: 2020-6-12 文章作者: myluzh 分类名称: PHP

0x01 ==和===的问题
==是比较运算，它不会去检查条件式的表达式的类型。
===是恒等，它会检查查表达式的值与类型是否相等。
NULL,0,”0”,array()使用==和false比较时，都是会返回true的，而使用===却不会。

1.比较操作
    一个数字和一个字符串进行比较，PHP会把字符串转换成数字再进行比较。PHP转换的规则的是：若字符串以数字开头，则取开头数字作为转换结果，若无则输出0。例如：123abc转换后应该是123，而abc则为0，0==0这当然是成立的啦！所以，0 ==’abc’是成立的。当有一个对比参数是整数的时候，会把另外一个参数强制转换为整数。

2.Hash比较
"0e132456789"=="0e7124511451155" //true
"0e123456abc"=="0e1dddada" //false
"0e1abc"=="0"     //true
在进行比较运算时，如果遇到了0e\d+这种字符串，就会将这种字符串解析为科学计数法。所以上面例子中2个数的值都是0因而就相等了。如果不满足0e\d+这种模式就不会相等。

3.md5比较
<?php
$a = md5('240610708'); // = 0e462097431906509019562988736854
$b = md5('QNKCDZO'); // = 0e830400451993494058024219903391
var_dump($a == $b);
?>
返回结果bool(true)
240610708 和 QNKCDZO md5值类型相似，但并不相同，在“==”相等操作符的运算下，结果返回了true。这是个经典的漏洞，只需要找到md5值为0exxx（xxx全为数字,共30位），这里我提供4个都可以通过的值：240610708、QNKCDZO、aabg7XSs、aabC9RqS

扩展：
先注册密码为240610708的用户A。
然后用密码QNKCDZO尝试登录用户A。
倘若成功登录，则证明此网站采用了不完备的加密体制md5一次加密。

先注册密码为0E33455555的用户A。
然后用密码0E234230570345尝试登录用户A。
倘若成功登录，则证明此网站采用了明文进行存储密码！

0x02 转换问题

1.类型转换
string转int：intval()函数 
var_dump(intval('2')) //2
var_dump(intval('3abcd')) //3
var_dump(intval('abcd')) //0
说明intval()转换的时候，会将从字符串的开始进行转换知道遇到一个非数字的字符。即使出现无法转换的字符串，intval()不会报错而是返回0。

2.十六进制转换 
"0x1e240"=="123456" //true
"0x1e240"==123456 //true
"0x1e240"=="1e240" //false
当其中的一个字符串是0x开头的时候，ox开头表示16进制，PHP会将此字符串解析成为十进制然后再进行比较，0×1e240解析成为十进制就是123456，所以与int类型和string类型的123456比较都是相等。

这样在不让输入数字但是后面还要和一串数字比较的情况下可以使用这种方法，将后面要比较的数字转为16进制，这样就可以绕过。

0x03 数组问题 
if (isset($_GET['name']) and isset($_GET['password'])) {
   if ($_GET['name'] == $_GET['password'])
       print 'Your password can not be your name.';
   else if (sha1($_GET['name']) === sha1($_GET['password']))
       die('Flag: '.$flag);
else
   print 'Invalid password';
name和password的值不能相同，其次，sha1加密之后的name和password的值又必须完全相同 我们知道，在php中，$a[] = 1;代表着$a[x] = 1;所以name[] = 1和password[]= 2相比较，可以跳过第一个判断，而如果使用sha1对一个数组进行加密，返回的将是NULL，NULL===NULL，这是成立的，所以构造两个数组绕过

0x04 常见函数问题
md5() 
string md5 ( string $str [, bool $raw_output = false ] )
md5()中需要传入的是一个string类型的参数，当我们传递一个array时，它是不会报错的，函数无法求出array的MD5值，这样导致任意两个array的MD5值都相等，从而绕过输入数值的判断，在ctf代码审计中经常遇见。

strcmp() 
int strcmp ( string $str1 , string $str2 )
进行字符串长度的比较，传入两个string的参数。如果str1小于str2,返回-1，相等返回0，否则返回1。strcmp函数比较字符串的本质是将两个变量转换为ascii，然后进行减法运算，然后根据运算结果来决定返回值。如果传入的参数为数字或数组

例1： 
$array=[1,2,3];
var_dump(strcmp($array,'123')); //null,在某种意义上null也就是相当于false。
例2： 
if (isset($_GET['password'])) {
if (strcmp($_GET['password'], $flag) == 0)
   die('Flag: '.$flag);
else
   print 'Invalid password';
}
此处使用strcmp()对pass和flag进行判断，如果==0，则输出flag。但是strcmp()函数只有在相等的情况下返回0。那么我们传入一个数组，它会返回NULL，而判断使用了==，而NULL==0是bool(true)，这样就成功绕过。

switch()
如果switch是数字类型的case的判断时，switch会将其中的参数转换为int类型。

in_array() 
bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )
如果strict参数没有提供，那么in_array就会使用松散比较来判断$needle是否在$haystack中。当strince的值为true时，in_array()会比较needls的类型和haystack中的类型是否相同。 
$array=[0,1,2,'3'];
var_dump(in_array('abc', $array));  //true
var_dump(in_array('1bc', $array)); //true
可以看到上面的情况返回的都是true,因为’abc’会转换为0，’1bc’转换为1。

ereg() 
int ereg(string pattern, string string, array [regs]);
字符串对比解析，ereg函数存在NULL截断漏洞，当ereg读取字符串string时,如果遇到了%00,后面的字符串就不会被解析。

bool类型的true跟任意字符串可以弱类型相等


内容参考原文：http://zjw.dropsec.xyz/

标签: php 弱类型 漏洞

« PHP获取图片主要部分颜色 | aaencode颜文字加密JS分析，并使用PHP进行编码解码»

发表评论