PHP弱类型比较漏洞原理

小张爱小余

于 2025-03-17 15:23:47 发布

阅读量200

点赞数 4

文章标签： php 开发语言弱类型

本文链接：https://blog.youkuaiyun.com/zj2084/article/details/146313067

版权

PHP弱类型比较漏洞

一、弱类型比较

var_dump("admin" == 0);  //true
var_dump("1admin" == 1);  //true
var_dump("admin1" == 1);  //false
var_dump("admin1" == 0);  //true
var_dump("0e123456" == "0e4456789");  //true

二、Hash比较

var_dump("0e123456789012345678901234567890" === "0");  //false
var_dump("0e123456789012345678901234567890" == "0");  //true

$pass = $_GET['password'];
$password = '0e342768416822451524974117254469';

if(md5($pass) == $password){
    echo "flag{xx-xx-xxxx-xxx}";
}
else{
    echo "error";
}

//除了使用===进行判断外，PHP5.6以上使用bash_equals()函数比较Hash值

http://localhost/review/weaktype.php?password=QNKCDZO

MD5加密后为0e开头的字符串

三、bool缺陷

$str = '{"user":true,"pass":true}';
$data = json_decode($str,true);

if($data['user'] == 'root' && $data['pass'] == 'myPass'){
    echo '登录成功,获得flag{xx-xx-xxxx-xxx}';
}else{
    echo '登录失败!';
}

四、unserialize缺陷

$str = 'a:2:{s:4:"user";b:1;s:4:"pass";b:1}';
$data = unserialize($str);

if($data['user'] == 'root' && $data['pass'] == 'myPass'){
    print_r('登录成功,获得flag{xx-xx-xxxx-xxx}');
}else{
    print_r('登录失败!');
}

五、极值比较缺陷

$a = 988669694308861098395599991222222222222;
$b = 988669694308861098395599992999999999999;

var_dump($a===$b);

六、switch比较缺陷

$num = '2woniu';
switch($num){
    case 0:
        echo '000000';
        break;
    case 1:
        echo '111111';
        break;
    case 2:
        echo '222222';
        break;
    case 3:
        echo '333333';
        break;
    default:
    echo "error";
}

//数字型防SQL注入的简单方法
// $source = '12345 and 1=2';
// var_dump((int)$source);

七、数组比较缺陷

//当使用in_array()或array_search()函数时，如果$strict参数没有设置为true
//则in_array()或array_search()将使用松散来判断$needle是否存在$haystack中
$array = ['a',0,1,2,'3'];
var_dump(in_array('abc',$array));
var_dump(array_search('abc',$array));

八、练习

error_reporting(0);
$flag="flag{xxxx-2020}";
if(empty($_GET['id'])){
    show_source(__FILE__);
    die();
}else{
    $a = "www.woniuxy.com";
    $id = $_GET['id'];
    @parse_str($id);
    if($a[0] != 'QNKCDZO' && md5($a[0]) == md5('QNKCDZO')){
        echo $flag;
    }else{
        exit("no no");
    }
}

对这段代码进行代码审计，我们必须满足两个条件才能够得到flag

第一个条件是我们必须传入一个参数，不能传入空值或为空值

第二个条件是我们传入的值必须满足if语句中的限制条件

所以允许我们传入的参数是s155964671a

http://localhost/review/weaktype.php?id=a[0]=s155964671a