深入研究PHP中的preg_replace和代码执行


Posted in PHP onAugust 15, 2018

前言

本文将深入研究 preg_replace /e 模式下的代码执行问题,其中包括 preg_replace 函数的执行过程分析、正则表达式分析、漏洞触发分析,当中的坑非常多,相信看完本文,你一定会有所收获。下面是 七月火 和 l1nk3r 的分析结果。

案例

下面先看一个案例,思考如何利用此处的 preg_replace /e 模式,执行代码(可以先不看下文分析,自己思考出 payload 试试)。

深入研究PHP中的preg_replace和代码执行

这个案例实际上很简单,就是 preg_replace 使用了 /e 模式,导致可以代码执行,而且该函数的第一个和第三个参数都是我们可以控制的。我们都知道, preg_replace 函数在匹配到符号正则的字符串时,会将替换字符串(也就是上图 preg_replace 函数的第二个参数)当做代码来执行,然而这里的第二个参数却固定为 'strtolower("\\1")' 字符串,那这样要如何执行代码呢?

爬坑1

上面的命令执行,相当于 eval('strtolower("\\1");') 结果,当中的 \\1 实际上就是 \1 ,而 \1 在正则表达式中有自己的含义。我们来看看 W3Cschool 中对其的描述:

反向引用

对一个正则表达式模式或部分模式 两边添加圆括号 将导致相关 匹配存储到一个临时缓冲区 中,所捕获的每个子匹配都按照在正则表达式模式中从左到右出现的顺序存储。缓冲区编号从 1 开始,最多可存储 99 个捕获的子表达式。每个缓冲区都可以使用 '\n' 访问,其中 n 为一个标识特定缓冲区的一位或两位十进制数。

所以这里的 \1 实际上指定的是第一个子匹配项,我们拿 ripstech 官方给的 payload 进行分析,方便大家理解。官方 payload 为: /?.*={${phpinfo()}} ,即 GET 方式传入的参数名为 /?.* ,值为 {${phpinfo()}}  。

原先的语句: preg_replace('/(' . $regex . ')/ei', 'strtolower("\\1")', $value);
变成了语句: preg_replace('/(.*)/ei', 'strtolower("\\1")', {${phpinfo()}});

深入研究PHP中的preg_replace和代码执行

爬坑2

上面的 preg_replace 语句如果直接写在程序里面,当然可以成功执行 phpinfo() ,然而我们的 .* 是通过 GET 方式传入,你会发现无法执行 phpinfo 函数,如下图:

深入研究PHP中的preg_replace和代码执行

我们 var_dump 一下 $_GET 数组,会发现我们传上去的 .* 变成了 _* ,如下图所示:

深入研究PHP中的preg_replace和代码执行

这是由于在PHP中,对于传入的非法的 $_GET 数组参数名,会将其转换成下划线,这就导致我们正则匹配失效。我们可以 fuzz 一下PHP会将哪些符号替换成下划线,发现有:(这是非法字符不为首字母的情况)

深入研究PHP中的preg_replace和代码执行

当非法字符为首字母时,只有点号会被替换成下划线:

深入研究PHP中的preg_replace和代码执行

所以我们要做的就是换一个正则表达式,让其匹配到 {${phpinfo()}} 即可执行 phpinfo 函数。这里我提供一个 payload : \S*=${phpinfo()} 执行结果如下:

深入研究PHP中的preg_replace和代码执行

爬坑3

下面再说说我们为什么要匹配到 {${phpinfo()}} 或者 ${phpinfo()} ,才能执行 phpinfo 函数,这是一个小坑。这实际上是PHP可变变量 的原因。在PHP中双引号包裹的字符串中可以解析变量,而单引号则不行。 ${phpinfo()} 中的 phpinfo() 会被当做变量先执行,执行后,即变成 ${1} (phpinfo()成功执行返回true)。如果这个理解了,你就能明白下面这个问题:

var_dump(phpinfo()); // 结果:布尔 true
var_dump(strtolower(phpinfo()));// 结果:字符串 '1'
var_dump(preg_replace('/(.*)/ie','1','{${phpinfo()}}'));// 结果:字符串'11'

var_dump(preg_replace('/(.*)/ie','strtolower("\\1")','{${phpinfo()}}'));// 结果:空字符串''
var_dump(preg_replace('/(.*)/ie','strtolower("{${phpinfo()}}")','{${phpinfo()}}'));// 结果:空字符串''
这里的'strtolower("{${phpinfo()}}")'执行后相当于 strtolower("{${1}}") 又相当于 strtolower("{null}") 又相当于 '' 空字符串

总结

这个问题是我们在做 PHP-Audit-Labs 项目的时候发现的,我们尽可能地将每一篇文章的漏洞理解透彻,分析清楚,这对自身也是一种提高。

好了,以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作具有一定的参考学习价值,如果有疑问大家可以留言交流,谢谢大家对三水点靠木的支持。

PHP 相关文章推荐
深入分析php中接口与抽象类的区别
Jun 08 PHP
解析php curl_setopt 函数的相关应用及介绍
Jun 17 PHP
腾讯QQ微博API接口获取微博内容
Oct 30 PHP
PHP网页游戏学习之Xnova(ogame)源码解读(五)
Jun 23 PHP
四种php中webservice实现的简单架构方法及实例
Feb 03 PHP
php模拟post提交数据的方法
Feb 12 PHP
修改WordPress中文章编辑器的样式的方法详解
Dec 15 PHP
修改Laravel5.3中的路由文件与路径
Aug 10 PHP
WAF的正确bypass
Jan 05 PHP
CodeIgniter框架数据库基本操作示例
May 24 PHP
PHP使用curl_multi_select解决curl_multi网页假死问题的方法
Aug 15 PHP
PHP自动生成缩略图函数的源码示例
Mar 18 PHP
PHP中一个有趣的preg_replace函数详解
Aug 15 #PHP
PHP使用curl_multi_select解决curl_multi网页假死问题的方法
Aug 15 #PHP
php+croppic.js实现剪切上传图片功能
Aug 14 #PHP
PHP设计模式之委托模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之建造者模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之装饰器模式定义与用法简单示例
Aug 13 #PHP
PHP实现的ID混淆算法类与用法示例
Aug 10 #PHP
You might like
php后退一页表单内容保存实现方法
2012/06/17 PHP
基于php-fpm的配置详解
2013/06/03 PHP
php的XML文件解释类应用实例
2014/09/22 PHP
JavaScript 直接操作本地文件的实现代码
2009/12/01 Javascript
javascript 主动派发事件总结
2011/08/09 Javascript
js和css写一个可以自动隐藏的悬浮框
2014/03/05 Javascript
JavaScript计算两个日期时间段内日期的方法
2015/03/16 Javascript
js实现交换运动效果的方法
2015/04/10 Javascript
js字符串操作方法实例分析
2015/05/06 Javascript
js实现当复选框选择匿名登录时隐藏登录框效果
2015/08/14 Javascript
js实现为a标签添加事件的方法(使用闭包循环)
2016/08/02 Javascript
javascript验证手机号和实现星号(*)代替实例
2016/08/16 Javascript
Jquery删除css属性的简单方法
2016/12/04 Javascript
JavaScript实现经典排序算法之插入排序
2016/12/28 Javascript
bootstrap配合Masonry插件实现瀑布式布局
2017/01/18 Javascript
Vue中的ref作用详解(实现DOM的联动操作)
2017/08/21 Javascript
小程序实现选择题选择效果
2018/11/04 Javascript
使用 Element UI Table 的 slot-scope方法
2019/10/10 Javascript
原生js实现俄罗斯方块
2020/10/20 Javascript
用vue设计一个日历表
2020/12/03 Vue.js
python 控制语句
2011/11/03 Python
Python调用命令行进度条的方法
2015/05/05 Python
浅谈tensorflow中几个随机函数的用法
2018/07/27 Python
基于python指定包的安装路径方法
2018/10/27 Python
python开发准备工作之配置虚拟环境(非常重要)
2019/02/11 Python
Python 等分切分数据及规则命名的实例代码
2019/08/16 Python
python使用socket 先读取长度,在读取报文内容示例
2019/09/26 Python
Python进程的通信Queue、Pipe实例分析
2020/03/30 Python
面向新手解析python Beautiful Soup基本用法
2020/07/11 Python
python如何写try语句
2020/07/14 Python
详解pytorch tensor和ndarray转换相关总结
2020/09/03 Python
HTML5和CSS3实例教程总结(推荐)
2016/07/18 HTML / CSS
完美解决IE8下不兼容rgba()的问题
2017/03/31 HTML / CSS
ORACLE第二个十问
2013/12/14 面试题
降消项目实施方案
2014/03/30 职场文书
Java+swing实现抖音上的表白程序详解
2022/06/25 Java/Android