PHP中的strcmp()函数漏洞

最新推荐文章于 2024-05-14 23:35:14 发布

原创最新推荐文章于 2024-05-14 23:35:14 发布 · 600 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php #开发语言 #后端

这篇博客讨论了PHP中strcmp函数在进行密码验证时的安全隐患。通过使用数组或对象作为输入，可以绕过传统的字符串比较，如password[]=admin。这揭示了在密码检查时应当注意的数据类型验证和过滤，以防止潜在的安全风险。

首先对strcmp()这个函数：
int strcmp ( string $str1 , string $str2 )
参数 str1第一个字符串。str2第二个字符串。如果 str1 小于 str2 返回 < 0；如果 str1 大于 str2 返回 > 0；如果两者相等，返回 0。传入的应该是字符串类型，但传入的不是字符串类型呢？

<?php
    $password="****"
     if(isset($_POST['password'])){

        if (strcmp($_POST['password'], $password) == 0) {
            echo "login success";
            exit();
        } else {
            echo "Wrong password..";
        }
?>