主要记录两个函数，一个是strcmp()，一个是mb_ereg_replace()

strcmp()

php 5.3 以后字符串和数组比较会返回0

测试代码：

PHP
<?php
$password=$_GET['password'];
if(strcmp('Firebroo',$password)){
    echo 'NO!';
}else{
    echo 'YES!';
}
?>
那么 xxx.php?password[]=1 就会输出 YES。具体详细原理见结尾PDF

mb_ereg_replace()

这个函数会被bypass。

测试代码：

PHP
<?php
    $data = $_GET['data'];
    $data = mb_ereg_replace("[<>]","_",$data);
    echo $data;
?>
那么在xss的过程中，就可以通过xx.php?data=%c0< 来逃逸过滤。原因感觉是因为这个函数把两个字符当做宽字节处理了。

ereg()
我们先看个代码片段：
代码如下:

$ip = "1.1.1.255".chr(0)."haha";
if(ereg("^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$",$ip)) {
        echo $ip;
} else {
        echo "unknown";
}
这个ereg正则限制了$ip的数据为xxx.xxx.xxx.xxx这样的形式，表面上看上面的代码应该输出"unknown"，而实际却输出了"1.1.1.255haha"，因为ereg函数存在NULL截断漏洞，导致了正则过滤被绕过。4 \2 n+ Y6 |; Z7 O 

6 e& b6 C5 F- W- F$ z我们在利用时必须要引入\x00(%00)，而在GPC为ON的情况下%00会被转义导致无法利用。但是如果被ereg()处理的是$ _SERVER(在PHP5下可以绕过GPC）或是被urldecode这样的函数处理导致GPC被绕过的数据呢？比如有些程序就用上面的方法验证$ _SERVER提交上来的IP，那么我们就可以利用NULL截断绕过正则过滤来构造我们需要的数据了：）