對php中弱型別轉換的實現

不言
發布: 2023-04-03 11:32:02
原創
2017 人瀏覽過

這篇文章分享給大家的內容是關於php裡弱型轉換,內容很有參考價值,希望可以幫到有需要的小夥伴。

1 前言

最近CTF比賽,不只一次的出了php弱型別的題目,藉此想總結一下關於php弱型別以及繞過方式

2 知識介紹

php中有兩種比較的符號== 與===

1 <?php
2 $a = $b ;
3 $a===$b ;
4 ?>
登入後複製

=== 在進行比較的時候,會先判斷兩個字串的型別是否相等,再比較

== 在進行比較的時候,會先將字串型別轉換成相同,再比較

如果比较一个数字和字符串或者比较涉及到数字内容的字符串,则字符串会被转换成数值并且比较按照数值来进行
登入後複製

這裡明確了說如果一個數值和字串進行比較的時候,會將字串轉換成數值

1 <?php
2 var_dump("admin"==0);  //true
3 var_dump("1admin"==1); //true
4 var_dump("admin1"==1) //false
5 var_dump("admin1"==0) //true
6 var_dump("0e123456"=="0e4456789"); //true 
7 ?>  //上述代码可自行测试
登入後複製

1 觀察上述程式碼,"admin"==0 比較的時候,會將admin轉換成數值,強制轉換,由於admin是字串,轉換的結果是0自然和0相等
2 "1admin"==1 比較的時候會將1admin轉換成數值,結果為1,而「admin1「==1 卻等於錯誤,也就是"admin1"被轉化成了0,為什麼? ? 3 "0e123456"=="0e456789"相互比較的時候,會將0e這類字串辨識為科學技術法的數字,0的無論多少次方都是零,所以相等

#對於上述的問題我查了php手冊

當一個字串欸當作一個數值來取值,其結果和類型如下:如果該字串沒有包含'.', 'e','E'並且其數值值在整形的範圍之內
該字串被當作int來取值,其他所有情況下都被作為float來取值,該字串的開始部分決定了它的值,如果字串以合法的數值開始,則使用該數值,否則其值為0。

1 <?php
2 $test=1 + "10.5"; // $test=11.5(float)
3 $test=1+"-1.3e3"; //$test=-1299(float)
4 $test=1+"bob-1.3e3";//$test=1(int)
5 $test=1+"2admin";//$test=3(int)
6 $test=1+"admin2";//$test=1(int)
7 ?>
登入後複製

所以就解釋了"admin1"==1 =>False 的原因

3 實戰

md5繞過(Hash比較缺陷)

 1 <?php
 2 if (isset($_GET[&#39;Username&#39;]) && isset($_GET[&#39;password&#39;])) {
 3     $logined = true;
 4     $Username = $_GET[&#39;Username&#39;];
 5     $password = $_GET[&#39;password&#39;];
 6 
 7      if (!ctype_alpha($Username)) {$logined = false;}
 8      if (!is_numeric($password) ) {$logined = false;}
 9      if (md5($Username) != md5($password)) {$logined = false;}
10      if ($logined){
11     echo "successful";
12       }else{
13            echo "login failed!";
14         }
15     }
16 ?>
登入後複製

題目大意是要輸入一個字串和數字類型,並且他們的md5值相等,就可以成功執行下一步語句 

介紹一批md5開頭是0e的字串上文提到過,0e在比較的時候會將其視作為科學計數法,所以無論0e後面是什麼,0的多少次方還是0md5('240610708') == md5('QNKCDZO')成功繞過!

QNKCDZO
0e830400451993494058024219903391

s878926199a
0e545993274517709034328855841020
  
s155964671a
0e342768416822451524974117254469
  
s214587387a
0e848240448830537924465865611904
  
s214587387a
0e848240448830537924465865611904
  
s878926199a
0e545993274517709034328855841020
  
s1091221200a
0e940624217856561557816327384675
  
s1885207154a
0e509367213418206700842008763514
登入後複製

json繞過

<?php
if (isset($_POST[&#39;message&#39;])) {
    $message = json_decode($_POST[&#39;message&#39;]);
    $key ="*********";
    if ($message->key == $key) {
        echo "flag";
    } 
    else {
        echo "fail";
    }
 }
 else{
     echo "~~~~";
 }
?>
登入後複製

輸入一個json類型的字串,json_decode函數解密成一個數組,判斷數組中key的值是否等於$key的值,但是$key的值我們不知道,但是可以利用0=="admin"這種形式繞過

最終payload message={"key":0}

array_search is_array繞過

 1 <?php
 2 if(!is_array($_GET[&#39;test&#39;])){exit();}
 3 $test=$_GET[&#39;test&#39;];
 4 for($i=0;$i<count($test);$i++){
 5     if($test[$i]==="admin"){
 6         echo "error";
 7         exit();
 8     }
 9     $test[$i]=intval($test[$i]);
10 }
11 if(array_search("admin",$test)===0){
12     echo "flag";
13 }
14 else{
15     echo "false";
16 }
17 ?>
登入後複製

上面是自己寫的一個,先判斷傳入的是不是數組,然後循環遍歷數組中的每個值,並且數組中的每個值不能和admin相等,並且將每個值轉換為int類型,再判斷傳入的數組是否有admin,有則返回flag

payload test[]=0可以繞過

以下是官方手冊對array_search的介紹

mixed array_search ( mixed $needle , array $haystack [, bool $strict = false ] )
登入後複製

$needle,$haystack必需,$strict可選  函數判斷$ haystack中的值是存在$needle,存在則傳回該值的鍵值第三個參數預設為false,如果設為true則會進行嚴格篩選

1 <?php
2 $a=array(0,1);
3 var_dump(array_search("admin",$a)); // int(0) => 返回键值0
4 var_dump(array_seach("1admin",$a));  // int(1) ==>返回键值1
5 ?>
登入後複製

array_search函數類似於== 也就是$ a=="admin" 當然是$a=0  當然如果第三個參數為true則不能繞過

strcmp漏洞繞過php -v <5.3

 1 <?php
 2     $password="***************"
 3      if(isset($_POST[&#39;password&#39;])){
 4 
 5         if (strcmp($_POST[&#39;password&#39;], $password) == 0) {
 6             echo "Right!!!login success";n
 7             exit();
 8         } else {
 9             echo "Wrong password..";
10         }
11 ?>
登入後複製

strcmp是比較兩個字串,如果str10 如果兩者相等回傳0

我們是不知道$password的值的,題目要求strcmp判斷的接受的值和$password必需相等,strcmp傳入的期望類型是字串類型,如果傳入的是數組會怎麼樣呢

我們傳入password[]=xxx 可以繞過是因為函數接受到了不符合的類型,將發生錯誤,但是還是判斷其相等

payload: password[]=xxx

switch繞過

 1 <?php
 2 $a="4admin";
 3 switch ($a) {
 4     case 1:
 5         echo "fail1";
 6         break;
 7     case 2:
 8         echo "fail2";
 9         break;
10     case 3:
11         echo "fail3";
12         break;
13     case 4:
14         echo "sucess";  //结果输出success;
15         break;
16     default:
17         echo "failall";
18         break;
19 }
20 ?>
登入後複製

這種原理和前面的類似,就不詳細解釋了

4 總結

這些php弱型別只是冰山一角上述驗證了程式碼審計的重要性

相關推薦:

 PHP中關鍵字var的用法範例

php佇列處理:php訊息佇列實作原理(圖文)

以上是對php中弱型別轉換的實現的詳細內容。更多資訊請關注PHP中文網其他相關文章!

相關標籤:
ctf
來源:php.cn
本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn
作者最新文章
熱門教學
更多>
最新下載
更多>
網站特效
網站源碼
網站素材
前端模板