PHP Tricks
Koekies algemene plek:
Dit is ook geldig vir phpMyAdmin-koekies.
Koekies:
Plekke:
Oorskrywing van PHP-vergelykings
Los vergelykings/Tipe Jonglering ( == )
Indien ==
in PHP gebruik word, is daar onverwagte gevalle waar die vergelyking nie soos verwag gedra nie. Dit is omdat "==" slegs waardes vergelyk wat na dieselfde tipe omskep is, as jy ook wil vergelyk dat die tipe van die vergelykte data dieselfde is, moet jy ===
gebruik.
PHP-vergelykingstabelle: https://www.php.net/manual/en/types.comparisons.php
"string" == 0 -> True
'n String wat nie met 'n nommer begin nie, is gelyk aan 'n nommer"0xAAAA" == "43690" -> True
Strings saamgestel uit syfers in desimale of heksadesimale formaat kan vergelyk word met ander syfers/strings met 'n ware resultaat as die syfers dieselfde was (syfers in 'n string word geïnterpreteer as syfers)"0e3264578" == 0 --> True
'n String wat met "0e" begin en gevolg deur enigiets, sal gelyk wees aan 0"0X3264578" == 0X --> True
'n String wat met "0" begin en gevolg word deur enige letter (X kan enige letter wees) en gevolg word deur enigiets, sal gelyk wees aan 0"0e12334" == "0" --> True
Dit is baie interessant omdat in sommige gevalle jy die string invoer van "0" kan beheer en 'n paar inhoud wat gehash en daarmee vergelyk word. Daarom, as jy 'n waarde kan voorsien wat 'n hash sal skep wat met "0e" begin en sonder enige letter, kan jy die vergelyking oorskry. Jy kan reeds gehashte strings met hierdie formaat hier vind: https://github.com/spaze/hashes"X" == 0 --> True
Enige letter in 'n string is gelyk aan int 0
Meer inligting in https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09
in_array()
Tipe Jonglering beïnvloed ook die in_array()
-funksie standaard (jy moet die derde argument na waar stel om 'n streng vergelyking te maak):
strcmp()/strcasecmp()
Indien hierdie funksie gebruik word vir enige verifikasie kontrole (soos die wagwoord nagaan) en die gebruiker beheer een kant van die vergelyking, kan hy 'n leë array stuur in plaas van 'n string as die waarde van die wagwoord (https://example.com/login.php/?username=admin&password[]=
) en sodoende hierdie kontroleer omseil:
Die dieselfde fout kom voor met strcasecmp()
Streng tipe Jonglering
Selfs as ===
gebruik word kan daar foute wees wat die vergelyking vatbaar maak vir tipe jonglering. Byvoorbeeld, as die vergelyking die data na 'n ander tipe voorwerp omskakel voordat dit vergelyk word:
preg_match(/^.*/)
preg_match()
kan gebruik word om gebruikersinvoer te valideer (dit kontroleer of enige woord/regex van 'n swartlys teenwoordig is in die gebruikersinvoer en as dit nie is nie, kan die kode voortgaan met sy uitvoering).
Nuwe lyn omseiling
Maar, wanneer die begin van die regexp afgebaken word, kontroleer preg_match()
slegs die eerste lyn van die gebruikersinvoer, dus as jy die invoer op een of ander manier in verskeie lyne kan stuur, kan jy hierdie kontrole omseil. Voorbeeld:
Om hierdie kontrole te omseil, kan jy die waarde stuur met nuwe lyne urlencoded (%0A
) of as jy JSON data kan stuur, stuur dit in verskeie lyne:
Vind 'n voorbeeld hier: https://ramadistra.dev/fbctf-2019-rceservice
Lengte fout omseil
(Die omseiling is blykbaar probeer op PHP 5.2.5 en ek kon dit nie werk kry op PHP 7.3.15)
As jy 'n geldige baie groot inset aan preg_match()
kan stuur, sal dit nie in staat wees om dit te verwerk nie en jy sal in staat wees om die kontrole te omseil. Byvoorbeeld, as dit 'n JSON op 'n swartlys plaas, kan jy stuur:
ReDoS Omgang
Truuk van: https://simones-organization-4.gitbook.io/hackbook-of-a-hacker/ctf-writeups/intigriti-challenges/1223 en https://mizu.re/post/pong
Kortliks gebeur die probleem omdat die preg_*
funksies in PHP bou op die PCRE-biblioteek. In PCRE word sekere regulêre uitdrukkings gematch deur 'n baie van herhalende oproepe te gebruik, wat baie stakspasie gebruik. Dit is moontlik om 'n limiet te stel op die hoeveelheid herhalings wat toegelaat word, maar in PHP is hierdie limiet standaard 100.000 wat meer is as wat in die stak pas.
Hierdie Stackoverflow-draad was ook gekoppel in die pos waar meer in diepte oor hierdie probleem gepraat word. Ons taak was nou duidelik:
Stuur 'n inset wat die regex 100_000+ herhalings laat doen, wat SIGSEGV veroorsaak, die preg_match()
funksie false
laat teruggee en sodoende die aansoek laat dink dat ons inset nie skadelik is nie, en die verrassing aan die einde van die lading iets soos {system(<verybadcommand>)}
gooi om SSTI --> RCE --> vlag te kry :).
Wel, in regex-terme doen ons eintlik nie 100k "herhalings" nie, maar in plaas daarvan tel ons "terugspoelstappe", wat soos die PHP-dokumentasie dit standaard na 1_000_000 (1M) in die pcre.backtrack_limit
verander.
Om dit te bereik, sal 'X'*500_001
lei tot 1 miljoen terugspoelstappe (500k vorentoe en 500k agtertoe):
Tipe Jonglering vir PHP verduistering
Voer Uit Na Omleiding (EAR)
Indien PHP na 'n ander bladsy omskakel, maar geen die
of exit
funksie word na die stel van die Location
header geroep nie, sal die PHP voortgaan met die uitvoer en data aan die liggaam toevoeg:
Padtraversal en Lêerinsluiting Uitbuiting
Kontroleer:
pageFile Inclusion/Path traversalMeer truuks
register_globals: In PHP < 4.1.1.1 of indien verkeerd ingestel, register_globals mag aktief wees (of hul gedrag word nageboots). Dit impliseer dat in globale veranderlikes soos $_GET as hulle 'n waarde het bv. $_GET["param"]="1234", jy kan dit benader via $param. Daarom, deur HTTP parameters te stuur kan jy veranderlikes oorskrywe wat binne die kode gebruik word.
Die PHPSESSION koekies van dieselfde domein word in dieselfde plek gestoor, daarom as binne 'n domein verskillende koekies in verskillende paaie gebruik word kan jy maak dat 'n pad die koekie van die pad benader deur die waarde van die ander pad se koekie in te stel. Op hierdie manier as beide paaie 'n veranderlike met dieselfde naam benader kan jy maak dat die waarde van daardie veranderlike in pad1 van toepassing is op pad2. En dan sal pad2 die veranderlikes van pad1 as geldig aanvaar (deur die koekie die naam te gee wat daarmee ooreenstem in pad2).
Wanneer jy die gebruikersname van die gebruikers van die masjien het. Kontroleer die adres: /~<USERNAME> om te sien of die php-gidse geaktiveer is.
password_hash/password_verify
Hierdie funksies word tipies in PHP gebruik om hasse van wagwoorde te genereer en om te kontroleer of 'n wagwoord korrek is in vergelyking met 'n has.
Die ondersteunde algoritmes is: PASSWORD_DEFAULT
en PASSWORD_BCRYPT
(begin met $2y$
). Let daarop dat PASSWORD_DEFAULT dikwels dieselfde as PASSWORD_BCRYPT is. En tans het PASSWORD_BCRYPT 'n groottebeperking in die inset van 72 byte. Daarom, wanneer jy iets probeer hash wat groter as 72 byte is met hierdie algoritme sal slegs die eerste 72B gebruik word:
HTTP koppe om PHP foute te misbruik
Indien 'n PHP-bladsy foute druk en sekere insette wat deur die gebruiker voorsien word, terugstuur, kan die gebruiker die PHP-bediener laat terugstuur van inhoud wat lank genoeg is, sodat wanneer dit probeer om die koppe by die antwoord te voeg, die bediener 'n fout sal gooi. In die volgende scenario het die aanvaller die bediener groot foute laat gooi, en soos gesien kan word op die skerm toe php probeer om die kopinligting te wysig, kon dit nie (so byvoorbeeld is die CSP-kop nie aan die gebruiker gestuur nie):
Kode-uitvoering
system("ls"); `ls`; shell_exec("ls");
Kyk hier vir meer nuttige PHP-funksies
RCE via preg_replace()
Om die kode in die "replace" argument uit te voer, is ten minste een ooreenstemming nodig. Hierdie opsie van preg_replace is verouder vanaf PHP 5.5.0.
RCE via Eval()
RCE via Assert()
Hierdie funksie binne php maak dit moontlik om kode wat geskryf is in 'n string uit te voer om waar of vals terug te gee (en afhangende hiervan die uitvoering te verander). Gewoonlik sal die gebruiker veranderlike in die middel van 'n string ingevoeg word. Byvoorbeeld:
assert("strpos($_GET['page']),'..') === false")
--> In hierdie geval om RCE te kry, kan jy:
RCE via usort()
Hierdie funksie word gebruik om 'n reeks items te sorteer met behulp van 'n spesifieke funksie. Om hierdie funksie te misbruik:
RCE via .httaccess
As jy 'n .htaccess kan oplaai, kan jy verskeie dinge konfigureer en selfs kode uitvoer (deur daardie lêers met die uitbreiding .htaccess te laai).
Verskillende .htaccess doppe kan hier gevind word hier
RCE via Env Variables
As jy 'n kwesbaarheid vind wat jou toelaat om omgewingsveranderlikes in PHP te wysig (en nog een om lêers op te laai, alhoewel dit met meer navorsing dalk omseil kan word), kan jy hierdie gedrag misbruik om RCE te kry.
LD_PRELOAD
: Hierdie omgewingsveranderlike laat jou toe om willekeurige biblioteke te laai wanneer jy ander bineêre lêers uitvoer (alhoewel dit in hierdie geval dalk nie werk nie).PHPRC
: Instrueer PHP oor waar om sy konfigurasie lêer te vind, gewoonlik genoemphp.ini
. As jy jou eie konfigurasie lêer kan oplaai, gebruik danPHPRC
om PHP daarna te wys. Voeg 'nauto_prepend_file
inskrywing by wat 'n tweede opgelaaide lêer spesifiseer. Hierdie tweede lêer bevat normale PHP-kode wat dan uitgevoer word deur die PHP-uitvoertyd voor enige ander kode.
Laai 'n PHP-lêer op wat ons skelkode bevat
Laai 'n tweede lêer op wat 'n
auto_prepend_file
riglyn bevat wat die PHP-voorverwerker instrueer om die lêer wat ons in stap 1 opgelaai het, uit te voerStel die
PHPRC
veranderlike in op die lêer wat ons in stap 2 opgelaai het.
Kry meer inligting oor hoe om hierdie ketting uit te voer vanaf die oorspronklike verslag.
PHPRC - 'n ander opsie
As jy nie lêers kan oplaai nie, kan jy in FreeBSD die "lêer"
/dev/fd/0
gebruik wat diestdin
bevat, wat die liggaam van die versoek wat na diestdin
gestuur is:curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary 'auto_prepend_file="/etc/passwd"'
Of om RCE te kry, aktiveer
allow_url_include
en voeg 'n lêer voor met base64 PHP-kode:curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD8KICAgcGhwaW5mbygpOwo/Pg=="'
Tegniek vanaf hierdie verslag.
PHP Statische analise
Kyk of jy kode kan invoeg in oproepe na hierdie funksies (van hier):
Indien jy 'n PHP-aansoek aan die foutopsporing is, kan jy foutdruk globaal aktiveer in /etc/php5/apache2/php.ini
deur display_errors = On
by te voeg en Apache te herlaai: sudo systemctl restart apache2
Ontsleuteling van PHP-kode
Jy kan die web www.unphp.net gebruik om PHP-kode te ontsluit.
PHP Omhulsels & Protokolle
PHP-omhulsels en protokolle kan jou in staat stel om skryf- en leesbeskerming te omseil in 'n stelsel en dit te kompromiteer. Vir meer inligting kyk na hierdie bladsy.
Xdebug ongeagte RCE
As jy sien dat Xdebug geaktiveer is in 'n phpconfig()
-uitset, moet jy probeer om RCE te kry via https://github.com/nqxcode/xdebug-exploit
Veranderlike veranderlikes
RCE misbruik nuwe $_GET["a"]($_GET["b"])
As in 'n bladsy jy kan 'n nuwe objek van 'n willekeurige klas skep kan jy moontlik RCE verkry, kyk na die volgende bladsy om te leer hoe:
pagePHP - RCE abusing object creation: new $_GET["a"]($_GET["b"])Voer PHP uit sonder letters
https://securityonline.info/bypass-waf-php-webshell-without-numbers-letters/
Gebruik van oktaal
XOR
XOR maklike dop-kode
Volgens hierdie skryfstuk is dit moontlik om 'n maklike dop-kode op hierdie manier te genereer:
So, as jy arbitrêre PHP sonder syfers en letters kan uitvoer, kan jy 'n versoek stuur soos die volgende deur misbruik te maak van daardie lading om arbitrêre PHP uit te voer:
Vir 'n meer diepgaande verduideliking kyk na https://ctf-wiki.org/web/php/php/#preg_match
XOR Shellcode (binne eval)
Perl soos
Last updated