网络安全-php安全知识点

水深无声 2022-12-13 01:46 231阅读 0赞

**目录**

语法与注释

输出

变量

弱类型安全

超级全局常量

函数

常用

字符串相关

正则表达式

子字符串位置

数据库相关

mysqli

pdo

伪协议相关

反序列化漏洞

serialize函数

unserialize函数

魔法函数

举例

--------------------

写给和我一样没学过php的安全小白，只是为了让你看懂php代码，专门学后端的请出门左转。学安全需要学的东西太多，你不可能把js学的和做前端的同学一样好、把php学的和做后端的一样好，把数据库学的和做数据库优化的同学一样好，把Apache学的和做服务器端的同学一样好，我们只能关注他们涉及的领域中不安全的因素，找到漏洞，提出修改意见。

php是后端常用的语言，在靶机或CTF比赛中也需要进行php代码审计，所以就看看从学安全的角度需要关心哪些部分。

# 语法与注释 #

PHP以 **<?php** 开始，以 **?>** 结束：

> <?php 
> // PHP 代码 
> ?>

> 
> <?php 
> // 这是 PHP 单行注释 
> 
> /\* 
> 这是 
> PHP 多行 
> 注释 
> \*/ 
> ?>

# 输出 #

在 PHP 中有两个基本的输出方式： echo 和 print。

echo 和 print 区别:

*  echo - 可以输出一个或多个字符串。
 *  print - 只允许输出一个字符串，返回值总为 1。

echo是经常用的，一般用于回显，比如sql注入时回显查询语句结果。

# 变量 #

PHP 变量规则：

*  变量以 $ 符号开始，后面跟着变量的名称
 *  变量名必须以字母或者下划线字符开始
 *  变量名只能包含字母数字字符以及下划线（A-z、0-9 和 \_ ）
 *  变量名不能包含空格
 *  变量名是区分大小写的

php是弱类型语言，不用在变量前面加类型。从学安全的角度，能看懂哪个是变量就ok了，如果以后学的更深入了，需要使用php来写POC，进行持续性漏洞再回过头来学习命名规则等。

## 弱类型安全 ##

php中有一些相等的值

*  ''==0==false==NULL
 *  '123'==123
 *  'abc'==0
 *  '123a'==123
 *  '0x01'==1
 *  '0e123456789'=='0e987654321'
 *  \[false\] ==\[0\]==\[NULL\]==\[''\]
 *  true == 1

在PHP中，比较两个值是否相等可以使用“==”或“===”，前者会自动进行类型转换。

<?php
 $input = "1abc";
 if($input==1)
 {
 	echo "flag";
 }
 ?>

结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70][]

其他的请读者自行尝试。

# 超级全局常量 #

常量值被定义后，在脚本的其他任何地方都不能被改变。

PHP 超级全局变量列表:

*  $GLOBALS

$GLOBALS 是一个包含了全部变量的全局组合数组，变量的名字就是数组的键，在一个PHP脚本的全部作用域中都可以访问。

> `$GLOBALS["___mysqli_ston"]`

*  $\_SERVER

$\_SERVER 是一个包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组。这个数组中的项目由 Web 服务器创建。

<table> 
 <tbody> 
 <tr> 
 <th>元素/代码</th> 
 <th>描述</th> 
 </tr> 
 <tr> 
 <td>$_SERVER['PHP_SELF']</td> 
 <td>当前执行脚本的文件名，与 document root 有关。例如，在地址为 http://example.com/test.php/foo.bar 的脚本中使用 $_SERVER['PHP_SELF'] 将得到 /test.php/foo.bar。__FILE__ 常量包含当前(例如包含)文件的完整路径和文件名。 从 PHP 4.3.0 版本开始，如果 PHP 以命令行模式运行，这个变量将包含脚本名。之前的版本该变量不可用。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['GATEWAY_INTERFACE']</td> 
 <td>服务器使用的 CGI 规范的版本；例如，"CGI/1.1"。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_ADDR']</td> 
 <td>当前运行脚本所在的服务器的 IP 地址。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_NAME']</td> 
 <td>当前运行脚本所在的服务器的主机名。如果脚本运行于虚拟主机中，该名称是由那个虚拟主机所设置的值决定。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_SOFTWARE']</td> 
 <td>服务器标识字符串，在响应请求时的头信息中给出。 (如：Apache/2.2.24)</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_PROTOCOL']</td> 
 <td>请求页面时通信协议的名称和版本。例如，"HTTP/1.0"。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['REQUEST_METHOD']</td> 
 <td>访问页面使用的请求方法；例如，"GET", "HEAD"，"POST"，"PUT"。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['REQUEST_TIME']</td> 
 <td>请求开始时的时间戳。从 PHP 5.1.0 起可用。 (如：1377687496)</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['QUERY_STRING']</td> 
 <td>query string（查询字符串），如果有的话，通过它进行页面访问。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['HTTP_ACCEPT']</td> 
 <td>当前请求头中 Accept: 项的内容，如果存在的话。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['HTTP_ACCEPT_CHARSET']</td> 
 <td>当前请求头中 Accept-Charset: 项的内容，如果存在的话。例如："iso-8859-1,*,utf-8"。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['HTTP_HOST']</td> 
 <td>当前请求头中 Host: 项的内容，如果存在的话。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['HTTP_REFERER']</td> 
 <td>引导用户代理到当前页的前一页的地址（如果存在）。由 user agent 设置决定。并不是所有的用户代理都会设置该项，有的还提供了修改 HTTP_REFERER 的功能。简言之，该值并不可信。)</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['HTTPS']</td> 
 <td>如果脚本是通过 HTTPS 协议被访问，则被设为一个非空的值。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['REMOTE_ADDR']</td> 
 <td>浏览当前页面的用户的 IP 地址。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['REMOTE_HOST']</td> 
 <td>浏览当前页面的用户的主机名。DNS 反向解析不依赖于用户的 REMOTE_ADDR。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['REMOTE_PORT']</td> 
 <td>用户机器上连接到 Web 服务器所使用的端口号。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SCRIPT_FILENAME']</td> 
 <td>当前执行脚本的绝对路径。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_ADMIN']</td> 
 <td>该值指明了 Apache 服务器配置文件中的 SERVER_ADMIN 参数。如果脚本运行在一个虚拟主机上，则该值是那个虚拟主机的值。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_PORT']</td> 
 <td>Web 服务器使用的端口。默认值为 "80"。如果使用 SSL 安全连接，则这个值为用户设置的 HTTP 端口。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SERVER_SIGNATURE']</td> 
 <td>包含了服务器版本和虚拟主机名的字符串。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['PATH_TRANSLATED']</td> 
 <td>当前脚本所在文件系统（非文档根目录）的基本路径。这是在服务器进行虚拟到真实路径的映像后的结果。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SCRIPT_NAME']</td> 
 <td>包含当前脚本的路径。这在页面需要指向自己时非常有用。__FILE__ 常量包含当前脚本(例如包含文件)的完整路径和文件名。</td> 
 </tr> 
 <tr> 
 <td>$_SERVER['SCRIPT_URI']</td> 
 <td>URI 用来指定要访问的页面。例如 "/index.html"。</td> 
 </tr> 
 </tbody> 
</table>

*  $\_REQUEST

用于收集HTML表单提交的数据。

*  $\_GET

HTML form标签的属性method="get"时，$\_GET可以收集URL中发送的数据。

*  $\_POST

HTML form标签的属性method="post"时，$\_POST可以收集表单中发送的数据。

*  $\_FILES
 *  $\_ENV
 *  $\_COOKIE
 *  $\_SESSION

# 函数 #

## 常用 ##

*   array()

创建数组

*  bool is\_numeric ( mixed $var )

检测变量是否为数字或数字字符串，注意，可以是16进制，字符串转16进制可以绕过。is\_numeric函数对于空字符%00，无论是%00放在前后都可以判断为非数值。

由于php是弱类型语言，会使用这个函数来判断一下。

*  rand(*min,max*)

生成随机整数

*  sleep(seconds)

延迟执行当前脚本若干秒

*  bool isset ( mixed $var \[, mixed $... \] )

检测变量是否已设置并且非 NULL

*  die(*message*)

输出一条消息，并退出当前脚本。

*  md5()

**以下值在md5加密后以0E开头：**

1.  QNKCDZO
2.  240610708
3.  s878926199a
4.  s155964671a
5.  s214587387a

可以用于md5相等，但两值不相等的情况

base64\_encode()、base64\_decode()`、sha1()` 和 `strcmp()`

`传入数组，返回NULL`

## 字符串相关 ##

### 正则表达式 ###

*  int preg\_match ( string $pattern , string $subject)

执行一个正则表达式匹配

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 1][] 匹配

这里需要注意一下 i ，表示大小写不敏感，即php、PHP、PhP都会被过滤掉，有的时候没有写i，黑名单里面有select关键字时，我们可以使用SELECT来绕过。

*  mb\_substr ( string $str , int $start \[, int $length = NULL \[, string $encoding = mb\_internal\_encoding() \]\] ) : string

返回字符串的一部分，字符串可以包含中文，substr函数是不能包含中文的。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 2][] 子串

### 子字符串位置 ###

*  **mb\_strpos** ( string `$haystack` , string `$needle` \[, int `$offset` = 0 \[, string `$encoding` = mb\_internal\_encoding() \]\] ) : int

查找字符串在另一个字符串中首次出现的位置（汉字占一个位置），如果没有找到字符串则返回 **false**。类似的还有：

*  strpos()-查找字符串在另一字符串中最后一次出现的位置（汉字占两个位置）
 *  strrpos()-查找字符串在另一字符串中最后一次出现的位置（区分大小写）
 *  stripos()-查找字符串在另一字符串中第一次出现的位置（不区分大小写）
 *  strripos()-查找字符串在另一字符串中最后一次出现的位置（不区分大小写）

**安全问题**

由于返回的是false，一旦使用==进行判断，我们可以构造第二个字符串是第一个的开始，即可绕过

<?php
 $str1 = "abcd";
 $str2 = "ab";
 if(strpos($str1,$str2)==false)
 {
 	echo "flag";
 }
 ?>

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 3][] 绕过结果

*  str\_replace(*find,replace,string,count*)

替换字符串中的一些字符（区分大小写），注意，可以通过双写或者大小写进行绕过。

*  mixed preg\_filter ( mixed $pattern , mixed $replacement , mixed $subject \[, int $limit = -1 \[, int &$count \]\] )

执行一个正则表达式搜索和替换。这个就不太好弄了，可能需要编码绕过。

*  htmlspecialchars(*string,flags,character-set,double\_encode*)

把一些预定义的字符转换为 HTML 实体。

预定义的字符是：

1. & （和号）成为 &
2. " （双引号）成为 "
3. ' （单引号）成为 '
4. < （小于）成为 <
5. > （大于）成为 >

故可以使用单引号的payload进行绕过。

*  strip\_tags(*string,allow*)

剥去字符串中的 HTML、XML 以及 PHP 的标签。

*  addslashes(*string*)

返回在预定义的字符前添加反斜杠的字符串。

预定义字符是：

1.  单引号（'）
2.  双引号（"）
3.  反斜杠（\\）
4.  NULL

## 数据库相关 ##

### mysqli ###

*  mysqli\_connect(*host,username,password,dbname,port,socket*)

打开一个到 MySQL 服务器的新的连接。

*  mysqli\_error(*connection*)

返回最近调用函数的最后一个错误描述。

*  mysqli\_close(*connection*)

关闭先前打开的数据库连接。

*  mysqli\_query(*connection,query,resultmode*)

执行某个针对数据库的查询

*  mysqli\_fetch\_assoc(*result*)

从结果集中取得一行作为关联数组

*  mysqli\_fetch\_row(*result*)

从结果集中取得一行，并作为枚举数组返回

*  mysqli\_num\_rows(*result*)

返回结果集中行的数量

*  mysqli\_real\_escape\_string(*connection,escapestring*)

转义在 SQL 语句中使用的字符串中的特殊字符，难道转义后我们就没有办法注入了？NO！！！

php官方函数参考手册中写到，会被进行转义的字符包括： `NUL （ASCII 0），\n，\r，\，'，" 和 Control-Z`.

也就是或如果是数字型注入，例如，payload是 1 and 1=1\# ，那么这个函数没有用，因为payload中不包含以上字符。

另外，在调用 **mysqli\_real\_escape\_string()** 函数之前， 必须先通过调用mysqli\_set\_charset()函数或者在 MySQL 服务器端设置字符集。如果字符集设置不当，可以通过宽字节注入来进行绕过。

### pdo ###

PHP 数据对象 （PDO） 扩展为PHP访问数据库定义了一个轻量级的一致接口。

PDO 提供了一个数据访问抽象层，这意味着，不管使用哪种数据库，都可以用相同的函数（方法）来查询和获取数据。

*  public PDOStatement PDO::prepare ( string $statement \[, array $driver\_options = array() \] )

为 PDOStatement::execute() 方法准备要执行的SQL语句，SQL语句可以包含零个或多个命名（:name）或问号（?）参数标记，参数在SQL执行时会被替换。这样就没法破坏sql语句的结构，不是拼接，也就是[网络安全-SQL注入原理及防御SQL注入][-SQL_SQL]中提到的sql注入防御的第一种。

举例：

> `prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );`

你以为sql语句是

> `SELECT first_name, last_name FROM users WHERE user_id = id LIMIT 1;`

于是使用 1 or 1=1\#作为payload，认为下面的sql语句会被执行

> `SELECT first_name, last_name FROM users WHERE user_id =`1 or 1=1\#

但实际上执行的是

> `SELECT first_name, last_name FROM users WHERE user_id =`1 or 1=1\#`LIMIT 1;`

或者说 直接判断 1 or 1=1\# 是不是数字型参数，不是的话根本就不会去执行，也就安全了。

*  bool PDOStatement::bindParam ( mixed $parameter , mixed &$variable \[, int $data\_type = PDO::PARAM\_STR \[, int $length \[, mixed $driver\_options \]\]\] )

绑定一个PHP变量到用作预处理的SQL语句中的对应命名占位符或问号占位符。

例如（绑定变量id与prepare里的id）：

> `bindParam( ':id', $id, PDO::PARAM_INT )`

*  bool PDOStatement::execute (\[ array $input\_parameters \] )

执行预处理过的语句。

*      mixed PDOStatement::fetch ([ int $fetch_style [, int $cursor_orientation = PDO::FETCH_ORI_NEXT [, int $cursor_offset = 0 ]]] )

从一个 PDOStatement 对象相关的结果集中获取下一行。

*      int PDOStatement::rowCount ( void )

返回上一个由对应的 PDOStatement 对象执行DELETE、 INSERT、或 UPDATE 语句受影响的行数。

# 伪协议相关 #

函数

[https://www.cnblogs.com/-an-/p/12372220.html][https_www.cnblogs.com_-an-_p_12372220.html]

伪协议方法

[https://www.jianshu.com/p/9a7148a753e0][https_www.jianshu.com_p_9a7148a753e0]

# 反序列化漏洞 #

PHP提供serialize和unserialize函数，将任意类型的数据转换成string类型或者相反。当unserialize函数的参数被用户控制的时候就会形成反序列化漏洞。

## serialize函数 ##

**serialize()** 函数用于序列化对象或数组，并返回一个字符串**，**序列化对象后，可以很方便的将它传递给其他需要它的地方，且其类型和结构不会改变。

string serialize ( mixed $value )

**参数**

$value: 要序列化的对象或数组。

**返回**

字符串

## **unserialize**函数 ##

**unserialize()** 函数用于将通过**serialize()** 函数序列化后的对象或数组进行反序列化，并返回原始的对象结构。

mixed unserialize ( string $str )

**参数**

$str: 序列化后的字符串。

**返回**

返回的是转换之后的值，可为 integer、float、string、array 或 object。

如果传递的字符串不可解序列化，则返回 FALSE，并产生一个 E\_NOTICE。

## 魔法函数 ##

序列化对象就要谈到类，其中有三个魔法函数：\_\_construct、\_\_destruct、\_\_toString。

<?php 
 class test{
 	var $url;
 	var $name;
 function __construct( $par1, $par2 ) {
 $this->url = $par1;
 $this->name = $par2;
 	echo "call __construct ";
 }
 	function __toString() {
 		echo "call __toString ";
 		return $this->url;
 	
 }
 	function __destruct() {
 		echo "call __destruct ";
 		echo "bye ";
 }
 }
 
 $t = new test('https://blog.csdn.net/lady_killer9','FrankYu');
 echo $t . PHP_EOL;
 ?>

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 4][] 魔法函数

*  \_\_construct在创建对象时被调用
 *  \_\_toString在对象被当做字符串时被调用
 *  \_\_destruct在脚本结束时被调用

## 举例 ##

有这样一段代码

<?php 
 class test{
 	var $path = "";
 	function __toString() {
 		$file = fopen($this->path, "r") or exit("无法打开文件!");
 		// 读取文件每一行，直到文件结尾
 		while(!feof($file))
 		{
 		echo fgets($file). " ";
 		}
 		fclose($file);
 		return $this->path;
 }
 }
 $para = '';
 echo unserialize($para);
 ?>

其中，para是你可控的，代码的作用就是反序列化你传入的参数，然后打印出来。

分析：打印必调用\_\_toString函数，\_\_toString函数中会打开$path文件，所以，我们需要构造一个path为敏感文件路径的test类对象，并得到序列化后的字符串，将该字符串作为参数para。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 5][] 得到序列化字符串

成功读取了敏感文件/box/script.php

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 6][] 显示了服务器保存的代码

更多函数，请查看[php官方手册][php]

更多内容查看：[网络安全-自学笔记][-]

喜欢本文的请动动小手点个赞，收藏一下，有问题请下方评论，转载请注明出处，并附有原文链接，谢谢！如有侵权，请及时联系。如果您感觉有所收获，自愿打赏，可选择支付宝18833895206（小于），您的支持是我不断更新的动力。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70]: /images/20221123/146f4a8f2ea34a04855e97e2a8617df1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 1]: /images/20221123/87c9e6a06a58488181fac9856f2bba61.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 2]: /images/20221123/7f253bfbbb144df2be9e878554f452c2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 3]: /images/20221123/e225050c96b04618b8c6ac9de1aea0d2.png
[-SQL_SQL]: https://blog.csdn.net/lady_killer9/article/details/107300079
[https_www.cnblogs.com_-an-_p_12372220.html]: https://www.cnblogs.com/-an-/p/12372220.html
[https_www.jianshu.com_p_9a7148a753e0]: https://www.jianshu.com/p/9a7148a753e0
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 4]: /images/20221123/4e73a1ba440b406cb8f6fe3402080c32.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 5]: /images/20221123/5643e5a7f4f54e9bb26139e2f3b6067b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 6]: /images/20221123/90d0a874bee746f69982c50c40b0f7b3.png
[php]: https://www.php.net/manual/zh/funcref.php
[-]: https://blog.csdn.net/lady_killer9/article/details/106791542