深入研究PHP中的preg_replace和代码执行


Posted in PHP onAugust 15, 2018

前言

本文将深入研究 preg_replace /e 模式下的代码执行问题,其中包括 preg_replace 函数的执行过程分析、正则表达式分析、漏洞触发分析,当中的坑非常多,相信看完本文,你一定会有所收获。下面是 七月火 和 l1nk3r 的分析结果。

案例

下面先看一个案例,思考如何利用此处的 preg_replace /e 模式,执行代码(可以先不看下文分析,自己思考出 payload 试试)。

深入研究PHP中的preg_replace和代码执行

这个案例实际上很简单,就是 preg_replace 使用了 /e 模式,导致可以代码执行,而且该函数的第一个和第三个参数都是我们可以控制的。我们都知道, preg_replace 函数在匹配到符号正则的字符串时,会将替换字符串(也就是上图 preg_replace 函数的第二个参数)当做代码来执行,然而这里的第二个参数却固定为 'strtolower("\\1")' 字符串,那这样要如何执行代码呢?

爬坑1

上面的命令执行,相当于 eval('strtolower("\\1");') 结果,当中的 \\1 实际上就是 \1 ,而 \1 在正则表达式中有自己的含义。我们来看看 W3Cschool 中对其的描述:

反向引用

对一个正则表达式模式或部分模式 两边添加圆括号 将导致相关 匹配存储到一个临时缓冲区 中,所捕获的每个子匹配都按照在正则表达式模式中从左到右出现的顺序存储。缓冲区编号从 1 开始,最多可存储 99 个捕获的子表达式。每个缓冲区都可以使用 '\n' 访问,其中 n 为一个标识特定缓冲区的一位或两位十进制数。

所以这里的 \1 实际上指定的是第一个子匹配项,我们拿 ripstech 官方给的 payload 进行分析,方便大家理解。官方 payload 为: /?.*={${phpinfo()}} ,即 GET 方式传入的参数名为 /?.* ,值为 {${phpinfo()}}  。

原先的语句: preg_replace('/(' . $regex . ')/ei', 'strtolower("\\1")', $value);
变成了语句: preg_replace('/(.*)/ei', 'strtolower("\\1")', {${phpinfo()}});

深入研究PHP中的preg_replace和代码执行

爬坑2

上面的 preg_replace 语句如果直接写在程序里面,当然可以成功执行 phpinfo() ,然而我们的 .* 是通过 GET 方式传入,你会发现无法执行 phpinfo 函数,如下图:

深入研究PHP中的preg_replace和代码执行

我们 var_dump 一下 $_GET 数组,会发现我们传上去的 .* 变成了 _* ,如下图所示:

深入研究PHP中的preg_replace和代码执行

这是由于在PHP中,对于传入的非法的 $_GET 数组参数名,会将其转换成下划线,这就导致我们正则匹配失效。我们可以 fuzz 一下PHP会将哪些符号替换成下划线,发现有:(这是非法字符不为首字母的情况)

深入研究PHP中的preg_replace和代码执行

当非法字符为首字母时,只有点号会被替换成下划线:

深入研究PHP中的preg_replace和代码执行

所以我们要做的就是换一个正则表达式,让其匹配到 {${phpinfo()}} 即可执行 phpinfo 函数。这里我提供一个 payload : \S*=${phpinfo()} 执行结果如下:

深入研究PHP中的preg_replace和代码执行

爬坑3

下面再说说我们为什么要匹配到 {${phpinfo()}} 或者 ${phpinfo()} ,才能执行 phpinfo 函数,这是一个小坑。这实际上是PHP可变变量 的原因。在PHP中双引号包裹的字符串中可以解析变量,而单引号则不行。 ${phpinfo()} 中的 phpinfo() 会被当做变量先执行,执行后,即变成 ${1} (phpinfo()成功执行返回true)。如果这个理解了,你就能明白下面这个问题:

var_dump(phpinfo()); // 结果:布尔 true
var_dump(strtolower(phpinfo()));// 结果:字符串 '1'
var_dump(preg_replace('/(.*)/ie','1','{${phpinfo()}}'));// 结果:字符串'11'

var_dump(preg_replace('/(.*)/ie','strtolower("\\1")','{${phpinfo()}}'));// 结果:空字符串''
var_dump(preg_replace('/(.*)/ie','strtolower("{${phpinfo()}}")','{${phpinfo()}}'));// 结果:空字符串''
这里的'strtolower("{${phpinfo()}}")'执行后相当于 strtolower("{${1}}") 又相当于 strtolower("{null}") 又相当于 '' 空字符串

总结

这个问题是我们在做 PHP-Audit-Labs 项目的时候发现的,我们尽可能地将每一篇文章的漏洞理解透彻,分析清楚,这对自身也是一种提高。

好了,以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作具有一定的参考学习价值,如果有疑问大家可以留言交流,谢谢大家对三水点靠木的支持。

PHP 相关文章推荐
PHP_Flame(Version:Progress)的原代码
Oct 09 PHP
php 随机生成10位字符代码
Mar 26 PHP
解析strtr函数的效率问题
Jun 26 PHP
file_get_contents("php://input", "r")实例介绍
Jul 01 PHP
跟我学Laravel之配置Laravel
Oct 15 PHP
php采用ajax数据提交post与post常见方法总结
Nov 10 PHP
php利用反射实现插件机制的方法
Mar 14 PHP
PHP内核探索之解释器的执行过程
Dec 22 PHP
PHP编程中尝试程序并发的几种方式总结
Mar 21 PHP
ThinkPHP3.2.1图片验证码实现方法
Aug 19 PHP
PHP实现的简单AES加密解密算法实例
May 29 PHP
PHP自定义序列化接口Serializable用法分析
Dec 29 PHP
PHP中一个有趣的preg_replace函数详解
Aug 15 #PHP
PHP使用curl_multi_select解决curl_multi网页假死问题的方法
Aug 15 #PHP
php+croppic.js实现剪切上传图片功能
Aug 14 #PHP
PHP设计模式之委托模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之建造者模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之装饰器模式定义与用法简单示例
Aug 13 #PHP
PHP实现的ID混淆算法类与用法示例
Aug 10 #PHP
You might like
js判断浏览器的比较全的代码
2007/02/13 Javascript
一个符号插入器 中用到的js代码
2007/09/04 Javascript
js GridView 实现自动计算操作代码
2009/03/25 Javascript
JS去除数组重复值的五种不同方法
2013/09/06 Javascript
跟我学习javascript的Date对象
2015/11/19 Javascript
实例详解jQuery表单验证插件validate
2016/01/18 Javascript
javascript中this用法实例详解
2017/04/06 Javascript
浅谈vue-lazyload实现的详细过程
2017/08/22 Javascript
详解vue-cli项目中怎么使用mock数据
2018/05/29 Javascript
如何使用50行javaScript代码实现简单版的call,apply,bind
2019/08/14 Javascript
使用vue实现一个电子签名组件的示例代码
2020/01/06 Javascript
vue中的过滤器及其时间格式化问题
2020/04/09 Javascript
Vue使用富文本编辑器Vue-Quill-Editor(含图片自定义上传服务、清除复制粘贴样式等)
2020/05/15 Javascript
详解JavaScript类型判断的四种方法
2020/10/21 Javascript
[00:32]2018DOTA2亚洲邀请赛VGJ.T出场
2018/04/03 DOTA
使用cx_freeze把python打包exe示例
2014/01/24 Python
朴素贝叶斯算法的python实现方法
2014/11/18 Python
python实现发送和获取手机短信验证码
2016/01/15 Python
python中pandas.DataFrame排除特定行方法示例
2017/03/12 Python
对python .txt文件读取及数据处理方法总结
2018/04/23 Python
windows下numpy下载与安装图文教程
2019/04/02 Python
Python matplotlib图例放在外侧保存时显示不完整问题解决
2020/07/28 Python
Python如何将装饰器定义为类
2020/07/30 Python
Django+Uwsgi+Nginx如何实现生产环境部署
2020/07/31 Python
中国网上药店领导者:1药网
2017/02/16 全球购物
西班牙第一的网上药房:PromoFarma.com
2017/04/17 全球购物
时尚、社区、科技:SEVENSTORE
2019/04/26 全球购物
Vivo俄罗斯官方在线商店:中国智能手机品牌
2019/10/04 全球购物
分别介绍一下Session Bean和Entity Bean
2015/03/13 面试题
汽车维修专业毕业生的求职信分享
2013/12/04 职场文书
质检部部长职责
2013/12/16 职场文书
出生医学证明书
2014/09/15 职场文书
《称赞》教学反思
2016/02/17 职场文书
超级实用的公文标题大全!
2019/07/19 职场文书
教你解决往mysql数据库中存入汉字报错的方法
2021/05/06 MySQL
nginx.conf配置文件结构小结
2022/04/08 Servers