PHP Tag

• <? ?>
  • short_open_tag 決定是否可使用短標記
  • 或是編譯php時 --enable-short-tags
• <?=
  • 等價 <? echo
  • 自PHP 5.4.0起，always work!
• <% %>、<%=
  • 自PHP 7.0.0起，被移除
  • 須將asp_tags設成On
• <script language="php"
  • 自PHP 7.0.0起，被移除
  • <script language="php">system("id"); </script>

PHP Weak Type

• var_dump('0xABCdef' == ' 0xABCdef');

  • true (Output for hhvm-3.18.5 - 3.22.0, 7.0.0 - 7.2.0rc4: false)

• var_dump('0010e2' == '1e3’);

  • true

• strcmp([],[])

  • 0

• sha1([])

  • NULL

• '123' == 123

• 'abc' == 0

• '123a' == 123

• '0x01' == 1

  • PHP 7.0後，16進位字串不再當成數字
  • e.g var_dump('0x01' == 1) => false

• '' == 0 == false == NULL

• md5([1,2,3]) == md5([4,5,6]) == NULL

  • 可用在登入繞過 (用戶不存在，則password為NULL)

• var_dump(md5(240610708));

  • 0e462097431906509019562988736854

• var_dump(sha1(10932435112));

  • 0e07766915004133176347055865026311692244

• $a="123"; $b="456"

  • $a + $b == "579";
  • $a . $b == "123456"

• $a = 0; $b = 'x';

  • $a == false => true
  • $a == $b => true
  • $b == true => true

• $a = 'a'

  • ++$a => 'b'
  • $a+1 => 1

PHP 其他特性

Overflow

• 32位元
  • intval('1000000000000') => 2147483647
• 64位元
  • intval('100000000000000000000') => 9223372036854775807

浮點數精度

• php -r "var_dump(1.000000000000001 == 1);"

  • false

• php -r "var_dump(1.0000000000000001 == 1);"

  • true

• $a = 0.1 * 0.1; var_dump($a == 0.01);

  • false

ereg會被NULL截斷

• var_dump(ereg("^[a-zA-Z0-9]+$", "1234\x00-!@#%"));
  • 1
• ereg和eregi在PHP 7.0.0.已經被移除

intval

• 四捨五入
  • var_dump(intval('5278.8787'));
    • 5278
• intval(012) => 10
• intval("012") => 12

extract變數覆蓋

• extract($_GET);
  • .php?_SESSION[name]=admin
  • echo $_SESSION['name'] => 'admin'

trim

• 會把字串前後的空白(或其他字元)去掉
• 未指定第二參數，預設會去掉以下字元
  • " " (0x20)
  • "\t" (0x09)
  • "\n" (0x0A)
  • "\x0B" (0x0B)
  • "\r" (0x0D)
  • "\0" (0x00)
• 可以發現預設不包含"\f" (0x0C)
  • 比較：is_numeric()允許\f在開頭
• 如果參數是unset或空的變數，回傳值是空字串

is_numeric

• is_numeric(" \t\r\n 123") => true

• is_numeric(' 87') => true

• is_numeric('87 ') => false

• is_numeric(' 87 ') => false

• is_numeric('0xdeadbeef')

  • PHP >= 7.0.0 => false
  • PHP < 7.0.0 => true
  • 可以拿來繞過注入

• 以下亦為合法(返回True)字串:

  • ' -.0'
  • '0.'
  • ' +2.1e5'
  • ' -1.5E+25'
  • '1.e5'

in_array

• in_array('5 or 1=1', array(1, 2, 3, 4, 5))
  • true
• in_array('kaibro', array(0, 1, 2))
  • true

array_search

• mixed array_search(mixed $needle , array $haystack [, bool $strict = false ])
  • 在haystack陣列中，搜尋needle的值，成功則返回index，失敗返回False
• $strict為false時，採用不嚴格比較
  • 預設是False
• Example
  • $arr=array(1,2,0); var_dump(array_search('kai', $arr))
    • int(2)
  • $arr=array(1,2,0); var_dump(array_search('1', $arr))
    • int(0)

parse_str

• parse_str(string, array)
• 會把查詢字串解析到變數中
• 如果未設置第二個參數，會解析到同名變數中
  • PHP7.2中不設置第二個參數會產生E_DEPRECATED警告
• parse_str('gg[kaibro]=5566');

array(1) {
  ["kaibro"]=>
    string(4) "5566"
}

parse_url

• 在處理傳入的URL會有問題

• parse_url('/a.php?id=1')

  array(2) {
    ["host"]=>
      string(5) "a.php"
    ["query"]=>
      string(4) "id=1"
  }
  

• parse_url('///a.php?id=1')

  • false

• parse_url('/a.php?id=1:80')

  • PHP < 7.0.0
    • false
  • PHP >= 7.0.0

      array(2) { 
          ["path"]=> string(6) "/a.php" 
          ["query"]=> string(7) "id=1:80" 
      }
    

• parse_url('http://kaibro.tw:87878')

  • 5.3.X版本以下

    array(3) { 
        ["scheme"]=> string(4) "http" 
        ["host"]=> string(9) "kaibro.tw" 
        ["port"]=> int(22342) 
    }

  • 其他： false

preg_replace

• mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )
  • 搜尋$subject中匹配的$pattern，並用$replacement替換
• 第一個參數用/e修飾符，$replacement會被當成PHP code執行
  • 必須有匹配到才會執行
  • PHP 5.5.0起，會產生E_DEPRECATED錯誤
  • PHP 7.0.0不再支援，用preg_replace_callback()代替

example:

<?php
$a='phpkaibro';
echo preg_replace('/(.*)kaibro/e','\\1info()',$a);

sprintf / vprintf

• 對格式化字串的類型沒檢查
• 格式化字串中%後面的字元(除了%之外)會被當成字串類型吃掉
  • 例如%\、%'、%1$\'
  • 在某些SQLi過濾狀況下，%' and 1=1#中的單引號會被轉義成\'，%\又會被吃掉，'成功逃逸
  • 原理：sprintf實作是用switch...case...
    • 碰到未知類型，default不處理

file_put_contents

• 第二個參數如果是陣列，PHP會把它串接成字串
• example:

  <?php
  $test = $_GET['txt'];
  if(preg_match('[<>?]', $test)) die('bye');
  file_put_contents('output', $test);

  • 可以直接?txt[]=<?php phpinfo(); ?>寫入

spl_autoload_register

• spl_autoload_register()可以自動載入Class
• 不指定參數，會自動載入.inc和.php
• Example:
  • 如果目錄下有kaibro.inc，且內容為class Kaibro{...}
  • 則spl_autoload_register()會把這個Class載入進來

路徑正規化

• a.php/.
  • file_put_contents("a.php/.", "<?php phpinfo() ?>");
    • 可成功寫入
      • 經測試Windows可以覆寫、Linux無法
    • 可以繞過一些正規表達式判斷
  • file_get_contents("a.php/.");
    • 經測試Windows下可成功讀、Linux無法
  • 還有很多其他function也適用
• " => .
  • a"php
• > => ?
  • a.p>p
  • a.>>>
• < => *
  • a.<

URL query decode

• $_GET會對傳入的參數做URLdecode再返回
• $_SERVER['REQUEST_URI']和$_SERVER['QUERY_STRING']則是直接返回

Example:

Request: http://kaibro.tw/test.php?url=%67%67

• $_GET: [url] => gg

• $_SERVER['REQUEST_URI']: /test.php?url=%67%67

• $_SERVER['QUERY_STRING']: url=%67%67

其他

• 大小寫不敏感

  • <?PhP sYstEm(ls);

• echo (true ? 'a' : false ? 'b' : 'c');

  • b

• echo `whoami`;

  • kaibro

• 正規表達式.不匹配換行字元%0a

• 運算優先權問題

  • $a = true && false;
    • $a => false
  • $a = true and false;
    • $a => true

• chr()

  • 大於256會mod 256
  • 小於0會加上256的倍數，直到>0
  • Example:
    • chr(259) === chr(3)
    • chr(-87) === chr(169)

• 遞增

  • $a="9D9"; var_dump(++$a);
    • string(3) "9E0"
  • $a="9E0"; var_dump(++$a);
    • float(10)

• 算數運算繞Filter

  • %f3%f9%f3%f4%e5%ed & %7f%7f%7f%7f%7f%7f
    • system
    • 可用在限制不能出現英數字時 or 過濾某些特殊符號
  • $_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`');
    • assert
  • 其他
    • ~, ++等運算，也都可用類似概念構造

• 花括號

  • 陣列、字串元素存取可用花括號
  • $array{index}同$array[index]