PHP-Audit-Labs-Day1 - in_array函数缺陷
函数缺陷原理分析
先看一段简单的源代码
class Challenge{
const UPLOAD_DIRECTORY = './solutions/';
private $file;
private $whitelist;
public function __construct($file)
{
$this->file = $file;
$this->whitelist = range(1,24);
}
public function __destruct()
{
if (in_array($this->file['name'], $this->whitelist))
{
move_uploaded_file(
$this->file['tmp_name'],
self::UPLOAD_DIRECTORY . $this->file['name']
);
}
}
}
$challenge = new Challenge($_FILES['solution']);
首先看这段代码的功能，它实现的是一个上传的功能。漏洞点在于
in_array($this->file['name'], $this->whitelist)
再看in_array函数的使用：
in_array ：(PHP 4, PHP 5, PHP 7)
功能 ：检查数组中是否存在某个值
定义 ： bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )
在 $haystack 中搜索 $needle ，如果第三个参数 $strict 的值为 TRUE ，
则 in_array() 函数会进行强检查，
检查 $needle 的类型是否和 $haystack 中的相同。如果找到 $haystack ，则返回 TRUE，否则返回 FALSE。
这个函数会在第二个参数中搜索第一个参数。关键点在于第三个参数$strict。这个参数只有True和False。默认的是False，即不开启PHP的强检查，也就是说我们可以成功的上传一个7shell.php文件，因为7shell.php是字符串，在与数字比较前会被类型转换成7,7在白名单的范围之内，成功上传。这个点导致了任意文件上传功能。
修复方法
1、开启第三个参数为True
一道由in_array造成sql报错注入的CTF题
先在本地搭建一下环境。
//index.php
<?php
include 'config.php';
$conn = new mysqli($servername, $username, $password, $dbname);
if ($conn->connect_error) {
die("连接失败: ");
}
$sql = "SELECT COUNT(*) FROM users";
$whitelist = array();
$result = $conn->query($sql);
if($result->num_rows > 0){
$row = $result->fetch_assoc();
$whitelist = range(1, $row['COUNT(*)']);
}
$id = stop_hack($_GET['id']);
$sql = "SELECT * FROM users WHERE id=$id";
if (!in_array($id, $whitelist)) {
die("id $id is not in whitelist.");
}
$result = $conn->query($sql);
if($result->num_rows > 0){
$row = $result->fetch_assoc();
echo "<center><table border='1'>";
foreach ($row as $key => $value) {
echo "<tr><td><center>$key</center></td><br>";
echo "<td><center>$value</center></td></tr><br>";
}
echo "</table></center>";
}
else{
die($conn->error);
}
?>
//config.php
<?php
$servername = "localhost";
$username = "fire";
$password = "fire";
$dbname = "day1";
function stop_hack($value){
$pattern = "insert|delete|or|concat|concat_ws|group_concat|join|floor|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile|dumpfile|sub|hex|file_put_contents|fwrite|curl|system|eval";
$back_list = explode("|",$pattern);
foreach($back_list as $hack){
if(preg_match("/$hack/i", $value))
die("$hack detected!");
}
return $value;
}
?>
# 搭建CTF环境使用的sql语句
create database day1;
use day1;
create table users (
id int(6) unsigned auto_increment primary key,
name varchar(20) not null,
email varchar(30) not null,
salary int(8) unsigned not null );
INSERT INTO users VALUES(1,'Lucia','Lucia@hongri.com',3000);
INSERT INTO users VALUES(2,'Danny','Danny@hongri.com',4500);
INSERT INTO users VALUES(3,'Alina','Alina@hongri.com',2700);
INSERT INTO users VALUES(4,'Jameson','Jameson@hongri.com',10000);
INSERT INTO users VALUES(5,'Allie','Allie@hongri.com',6000);
create table flag(flag varchar(30) not null);
INSERT INTO flag VALUES('HRCTF{1n0rrY_i3_Vu1n3rab13}');
一开始提示我们加一个id参数。
id=1 and 1=1有回显，id=1 and 1=2异常。存在数字型注入。id=5有回显，id=6报错，一共存在5列。接着暴数据，但是从代码里面看到存在过滤字符。updatexml没有被过滤，使用报错注入，但是concat被禁了，无法拼接数据。这里用到了make_set()函数。
我们先看make_set这个函数的定义
make_set()的用法
返回一个设定值(含子字符串分隔字符串。，。字符)由那些在设置位的相应位的字符串。str1对应于位0，str2至位1，以此类推。NULL值在str1，str2，...不添加到结果。
make_set()应用实例
9化成二进制是1001，倒过来也是1001，那么对应四位数，a对应1，取，b和c对应0，不取，d对应1，取，所以结果是a,d。10化成二进制是1010，倒过来就是0101，a对应0，不取，b对应1,取，c对应0，不取，d对应1，取。所以结果是b,d。
再看
1|4表示进行或运算，为0001 | 0100,得0101，倒过来排序，为1010，同上方法结果是a,c。
但是还有一种就是str里面有null的。
如果null对应到了1那么直接跳过。
payload
3化成二进制是11，倒过来也是11，updatexml报错注入的原理就是Xpath语法遇到特殊字符会报错，并且返回非法格式报错的内容，这里对应1，select database()也对应1。所以能把数据暴出来。
?id=1 and updatexml(1,make_set(3,'~',(select flag from flag limit 1)),1)
这里碰到了一个小错误。在删掉limit1 之后报错Subquery returns more than 1 row，加个limit 1就好了。因为是白盒测试就直接读flag了。
漏洞成因
先看整个代码的逻辑，白名单是1到5，对id参数进行stop_hack过滤，然后将id的参数代入到$sql语句中，但是因为
if (!in_array($id, $whitelist)) {
die("id $id is not in whitelist.");
}
in_array没有开启强比较，我们的注入语句可以过去。就像这样
<?php
$id = "1 and updatexml(1,make_set(3,'~',(select flag from flag limit 1)),1)";
$whitelist = range(1,5);
if(!in_array($id,$whitelist)){
echo "True";
}
else{
echo "False";
}
id在比较的时候变成了1,1在$whitelist内得到False。
接着执行我们的sql语句，就可以暴出数据
