in_array函数缺陷(原理+实战)

最新推荐文章于 2025-03-14 10:54:45 发布

Le叶a子f

最新推荐文章于 2025-03-14 10:54:45 发布

阅读量4.2k

点赞数 1

分类专栏：代码审计文章标签： php 开发语言后端

本文链接：https://blog.youkuaiyun.com/qq_38850916/article/details/121183335

版权

代码审计专栏收录该内容

4 篇文章

订阅专栏

函数缺陷原理

先看一段代码

这里可以很容易理解出，如果上传的文件名是1-24中的一个，那么就将文件进行上传。

下面是in_array()函数的定义。

in_array ：(PHP 4, PHP 5, PHP 7)

功能：检查数组中是否存在某个值

定义： bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )

在 $haystack 中搜索 $needle ，如果第三个参数 $strict 的值为 TRUE ，则 in_array() 函数会进行强检查，检查 $needle 的类型是否和 $haystack 中的相同。如果找到 $haystack ，则返回 TRUE，否则返回 FALSE。

漏洞解析

这一关卡考察的是一个任意文件上传漏洞，而导致这一漏洞的发生则是不安全的使用 in_array() 函数来检测上传的文件名，即上图中的第12行部分。由于该函数并未将第三个参数设置为 true ，这导致攻击者可以通过构造的文件名来绕过服务端的检测，例如文件名为 7shell.php 。因为PHP在使用 in_array() 函数判断时，会将 7shell.php 强制转换成数字7，而数字7在 range(1,24) 数组中，最终绕过 in_array() 函数判断，导致任意文件上传漏洞。（这里之所以会发生强制类型转换，是因为目标数组中的元素为数字类型)。