深入研究PHP中的preg_replace和代码执行


Posted in PHP onAugust 15, 2018

前言

本文将深入研究 preg_replace /e 模式下的代码执行问题,其中包括 preg_replace 函数的执行过程分析、正则表达式分析、漏洞触发分析,当中的坑非常多,相信看完本文,你一定会有所收获。下面是 七月火 和 l1nk3r 的分析结果。

案例

下面先看一个案例,思考如何利用此处的 preg_replace /e 模式,执行代码(可以先不看下文分析,自己思考出 payload 试试)。

深入研究PHP中的preg_replace和代码执行

这个案例实际上很简单,就是 preg_replace 使用了 /e 模式,导致可以代码执行,而且该函数的第一个和第三个参数都是我们可以控制的。我们都知道, preg_replace 函数在匹配到符号正则的字符串时,会将替换字符串(也就是上图 preg_replace 函数的第二个参数)当做代码来执行,然而这里的第二个参数却固定为 'strtolower("\\1")' 字符串,那这样要如何执行代码呢?

爬坑1

上面的命令执行,相当于 eval('strtolower("\\1");') 结果,当中的 \\1 实际上就是 \1 ,而 \1 在正则表达式中有自己的含义。我们来看看 W3Cschool 中对其的描述:

反向引用

对一个正则表达式模式或部分模式 两边添加圆括号 将导致相关 匹配存储到一个临时缓冲区 中,所捕获的每个子匹配都按照在正则表达式模式中从左到右出现的顺序存储。缓冲区编号从 1 开始,最多可存储 99 个捕获的子表达式。每个缓冲区都可以使用 '\n' 访问,其中 n 为一个标识特定缓冲区的一位或两位十进制数。

所以这里的 \1 实际上指定的是第一个子匹配项,我们拿 ripstech 官方给的 payload 进行分析,方便大家理解。官方 payload 为: /?.*={${phpinfo()}} ,即 GET 方式传入的参数名为 /?.* ,值为 {${phpinfo()}}  。

原先的语句: preg_replace('/(' . $regex . ')/ei', 'strtolower("\\1")', $value);
变成了语句: preg_replace('/(.*)/ei', 'strtolower("\\1")', {${phpinfo()}});

深入研究PHP中的preg_replace和代码执行

爬坑2

上面的 preg_replace 语句如果直接写在程序里面,当然可以成功执行 phpinfo() ,然而我们的 .* 是通过 GET 方式传入,你会发现无法执行 phpinfo 函数,如下图:

深入研究PHP中的preg_replace和代码执行

我们 var_dump 一下 $_GET 数组,会发现我们传上去的 .* 变成了 _* ,如下图所示:

深入研究PHP中的preg_replace和代码执行

这是由于在PHP中,对于传入的非法的 $_GET 数组参数名,会将其转换成下划线,这就导致我们正则匹配失效。我们可以 fuzz 一下PHP会将哪些符号替换成下划线,发现有:(这是非法字符不为首字母的情况)

深入研究PHP中的preg_replace和代码执行

当非法字符为首字母时,只有点号会被替换成下划线:

深入研究PHP中的preg_replace和代码执行

所以我们要做的就是换一个正则表达式,让其匹配到 {${phpinfo()}} 即可执行 phpinfo 函数。这里我提供一个 payload : \S*=${phpinfo()} 执行结果如下:

深入研究PHP中的preg_replace和代码执行

爬坑3

下面再说说我们为什么要匹配到 {${phpinfo()}} 或者 ${phpinfo()} ,才能执行 phpinfo 函数,这是一个小坑。这实际上是PHP可变变量 的原因。在PHP中双引号包裹的字符串中可以解析变量,而单引号则不行。 ${phpinfo()} 中的 phpinfo() 会被当做变量先执行,执行后,即变成 ${1} (phpinfo()成功执行返回true)。如果这个理解了,你就能明白下面这个问题:

var_dump(phpinfo()); // 结果:布尔 true
var_dump(strtolower(phpinfo()));// 结果:字符串 '1'
var_dump(preg_replace('/(.*)/ie','1','{${phpinfo()}}'));// 结果:字符串'11'

var_dump(preg_replace('/(.*)/ie','strtolower("\\1")','{${phpinfo()}}'));// 结果:空字符串''
var_dump(preg_replace('/(.*)/ie','strtolower("{${phpinfo()}}")','{${phpinfo()}}'));// 结果:空字符串''
这里的'strtolower("{${phpinfo()}}")'执行后相当于 strtolower("{${1}}") 又相当于 strtolower("{null}") 又相当于 '' 空字符串

总结

这个问题是我们在做 PHP-Audit-Labs 项目的时候发现的,我们尽可能地将每一篇文章的漏洞理解透彻,分析清楚,这对自身也是一种提高。

好了,以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作具有一定的参考学习价值,如果有疑问大家可以留言交流,谢谢大家对三水点靠木的支持。

PHP 相关文章推荐
PHP详解ASCII码对照表与字符转换
Dec 05 PHP
利用ThinkPHP内置的ThinkAjax实现异步传输技术的实现方法
Dec 19 PHP
thinkphp 一个页面使用2次分页的实现方法
Jul 15 PHP
php颜色转换函数hex-rgb(将十六进制格式转成十进制格式)
Sep 23 PHP
smarty模板引擎中自定义函数的方法
Jan 22 PHP
yii添删改查实例
Nov 16 PHP
PHP中substr_count()函数获取子字符串出现次数的方法
Jan 07 PHP
win10环境PHP 7 安装配置【教程】
May 09 PHP
基于PHPexecl类生成复杂的报表表头示例
Oct 14 PHP
PHP批量获取网页中所有固定种子链接的方法
Nov 18 PHP
用PHP的反射实现委托模式的讲解
Mar 22 PHP
如何在Laravel5.8中正确地应用Repository设计模式
Nov 26 PHP
PHP中一个有趣的preg_replace函数详解
Aug 15 #PHP
PHP使用curl_multi_select解决curl_multi网页假死问题的方法
Aug 15 #PHP
php+croppic.js实现剪切上传图片功能
Aug 14 #PHP
PHP设计模式之委托模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之建造者模式定义与用法简单示例
Aug 13 #PHP
PHP设计模式之装饰器模式定义与用法简单示例
Aug 13 #PHP
PHP实现的ID混淆算法类与用法示例
Aug 10 #PHP
You might like
php mssql 数据库分页SQL语句
2008/12/16 PHP
PHP冒泡排序算法代码详细解读
2011/07/17 PHP
解析CodeIgniter自定义配置文件
2013/06/18 PHP
Yii2框架操作数据库的方法分析【以mysql为例】
2019/05/27 PHP
yii2 在控制器中验证请求参数的使用方法
2019/06/19 PHP
php快速导入大量数据的实例方法
2019/09/23 PHP
JavaScript 基础问答三
2008/12/03 Javascript
基于Jquery实现键盘按键监听
2014/05/11 Javascript
禁止iframe页面的所有js脚本如alert及弹出窗口等
2014/09/03 Javascript
javascript创建对象的几种模式介绍
2016/05/06 Javascript
微信小程序 教程之wxapp 视图容器 view
2016/10/19 Javascript
jQuery实现导航高亮的方法【附demo源码下载】
2016/11/09 Javascript
vue将对象新增的属性添加到检测序列的方法
2018/02/24 Javascript
vue2.0实现移动端的输入框实时检索更新列表功能
2018/05/08 Javascript
微信开发之企业付款到银行卡接口开发的示例代码
2018/09/18 Javascript
前端js中的事件循环eventloop机制详解
2019/05/15 Javascript
JavaScript箭头函数中的this详解
2019/06/19 Javascript
jQuery开发仿QQ版音乐播放器
2020/07/10 jQuery
OpenLayers3实现对地图的基本操作
2020/09/28 Javascript
[03:08]TI9战队档案 - Vici Gaming
2019/08/20 DOTA
python访问mysql数据库的实现方法(2则示例)
2016/01/06 Python
Fabric 应用案例
2016/08/28 Python
Python读写Json涉及到中文的处理方法
2016/09/12 Python
利用Python批量压缩png方法实例(支持过滤个别文件与文件夹)
2017/07/30 Python
有关Python的22个编程技巧
2018/08/29 Python
python交易记录链的实现过程详解
2019/07/03 Python
Python中字典与恒等运算符的用法分析
2019/08/22 Python
Python爬取知乎图片代码实现解析
2019/09/17 Python
python计算二维矩形IOU实例
2020/01/18 Python
Python+unittest+requests 接口自动化测试框架搭建教程
2020/10/09 Python
Python numpy大矩阵运算内存不足如何解决
2020/11/19 Python
内刊编辑求职自荐书范文
2014/02/19 职场文书
餐厅周年庆活动方案
2014/08/25 职场文书
2014年学习委员工作总结
2014/11/14 职场文书
实习报告范文之电话客服岗位
2019/07/26 职场文书
班干部竞选演讲稿(精选5篇)
2019/09/24 职场文书