Edit by Qsaka
这篇paper只是个人的学习笔记,如有疏漏之处,欢迎指出。
0X01 SQL注入
这里主要是PHP的防范注入的几个配置,注入手法不再赘述
magic_quotes_gpc
对 $_GET $_POST $_COOKIE
变量中的 ' " \ 空字符(NULL)
进行转义。但这个特性在 PHP5.3.0 中已经不推荐使用,并且在 PHP5.4.0 中已经移除。注意它并不会过滤 $_SERVER
magic_quotes_runtime
对从数据库或文件中获取的数据进行过滤,过滤内容与 magic_quotes_gpc 一致。但在PHP5.4中被废弃。
magic_quotes_sybase
将 $_GET $_POST $_COOKIE 变量中的
'替换为
",并对
空字符(NULL)`进行转义。此选项会完全覆盖magic_quotes_gpc。
safe_mode
safe_mode在 PHP5.3.0 中废弃, PHP 5.4.0 中移除。
0X02 XSS
htmlspecialchars()
默认只过滤"
0X06 文件操作
文件操作包括上传,读取,写入,下载,包含,删除。
文件包含
文件包含分为本地文件包含(LFI),远程文件包含(RFI)。进行远程文件包含需要allow_url_include = On
。远程文件包含也可以通过PHP的输入/输出流 php://
或伪协议 data://
来实现
如果文件包含被加以某种限制,如 include($_GET['file'].'.html')
。这里给出几种bypass的方法
- 通过
%00
截断的方式来进行包含。但是这要在未对NULL
字符进行过滤的情况下。而且在 PHP5.3 之后的版本无法利用。 - 利用多个
.
来进行截断。windows下需要>=240个,linux下>=2040个。这种方法同样在 PHP5.3.0 后被修复 - 特别的,当可以进行远程文件包含时,我们可以利用URL中的
? #
来实现截断。file=http//www.example.com/shell.php?
, 这样.html
会被认为成请求参数
文件上传
- 利用apache或iis6.0的解析漏洞
-
php3 php4 php%20
绕过 -
%00
截断,如1.php%00.jpg
- 更改文件头
content-type
0X07 代码执行
代码执行相关函数 eval() assert() preg_replace() call_user_func() call_user_func_array() array_map() array_filter() array_reduce()
等
0X08 命令执行
命令执行相关函数 exec() system() shell_exec() passthru() pcntl_exec() popen() proc_open()
, 除此之外被反引号括起的字符串也会被当做命令执行
0X09 变量覆盖
变量覆盖漏洞是指用户传入的变量会将程序内部原有变量的值覆盖。可能引发变量覆盖漏洞的函数有 extract() parse_str()
PHP中的可变变量也可以导致变量覆盖,比如下面的过滤操作
foreach(array('_COOKIE', '_POST', '_GET') as $_request) {
foreach($$_request as $_key => $_value) {
$$_key = addslashes($_value);
}
}
变量覆盖漏洞一般需要和其他的攻击方式进行结合。
0X0B 逻辑漏洞
这里简单列举几种
-
header()
跳转后没有exit() -
is_numeric()
可用hex绕过,导致二次注入 -
==
与===
- 在线支付逻辑漏洞总结
- 验证码安全问题汇总
- 密码找回逻辑漏洞总结
0X0A 权限绕过
权限绕过其实也算逻辑漏洞,分为水平越权和垂直越权两类。
wooyun小川的paper: 我的越权之道