利用正则回溯最大次数上限进行绕过

最新推荐文章于 2024-07-31 19:28:03 发布

young9222

最新推荐文章于 2024-07-31 19:28:03 发布

阅读量1.6k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： ctfweb php

本文链接：https://blog.youkuaiyun.com/u013457794/article/details/89010253

本文分析了源码中关于文件上传的正则验证，该正则要求字符串以特定方式开始，并允许任意字符。讨论了PHP的PCRE回溯次数限制，指出当回溯次数超过默认的100万次时，`preg_match`会返回`false`。作者提出通过构造特定输入，可以绕过正则验证并实现远程代码执行（RCE）。参考了PHP回溯次数限制的利用方法，并给出了一个构造RCE脚本的示例，最终获取到flag。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

源码：

 <?php
 function is_php($data){
     return preg_match('/<\?.*[(`;?>].*/is', $data);
 }
 
 if(empty($_FILES)) {
     die(show_source(__FILE__));
 }
 
 $user_dir = 'data/' . md5($_SERVER['REMOTE_ADDR']);
 $data = file_get_contents($_FILES['file']['tmp_name']);
 if (is_php($data)) {
     echo "bad request";
 } else {
     @mkdir($user_dir, 0755);
     $path = $user_dir . '/' . random_int(0, 10) . '.php';
     move_uploaded_file($_FILES['file']['tmp_name'], $path);
 
     header("Location: $path", true, 303);
 }

通过对源码分析，可知要求上传文件，且文件内容要通过正则且能RCE

正则：/<\?.*[(`;?>].*/is

指匹配<?开头的中间出现[(`;?>]任一字符的不区分大小写的，无视换行符的字符串。即针对<?php ;或<?php ?>等语句。
如何绕过正则且能RCE呢？
Rerference: PHP利用PCRE回溯次数限制绕过某些安全限制

PHP 为了防止正则表达式的拒绝服务攻击（reDOS