PHP-Audit-Labs-Day1 - in_array函数缺陷

函数缺陷原理分析

先看一段简单的源代码

class Challenge{

    const UPLOAD_DIRECTORY = './solutions/';

    private $file;

    private $whitelist;

    public function __construct($file)

    {

        $this->file = $file;

        $this->whitelist = range(1,24);

    }

    public function __destruct()

    {

        if (in_array($this->file['name'], $this->whitelist))

        {

            move_uploaded_file(

                $this->file['tmp_name'],

                self::UPLOAD_DIRECTORY . $this->file['name']

            );

        }

    }

}

$challenge = new Challenge($_FILES['solution']);

首先看这段代码的功能，它实现的是一个上传的功能。漏洞点在于

in_array($this->file['name'], $this->whitelist)

再看in_array函数的使用：

in_array ：(PHP 4, PHP 5, PHP 7)

功能 ：检查数组中是否存在某个值

定义 ： bool in_array ( mixed $needle , array $haystack [, bool $strict = FALSE ] )

        在 $haystack 中搜索 $needle ，如果第三个参数 $strict 的值为 TRUE ，

        则 in_array() 函数会进行强检查，

        检查 $needle 的类型是否和 $haystack 中的相同。如果找到 $haystack ，则返回 TRUE，否则返回 FALSE。

这个函数会在第二个参数中搜索第一个参数。关键点在于第三个参数$strict。这个参数只有True和False。默认的是False，即不开启PHP的强检查，也就是说我们可以成功的上传一个7shell.php文件，因为7shell.php是字符串，在与数字比较前会被类型转换成7,7在白名单的范围之内，成功上传。这个点导致了任意文件上传功能。

修复方法

1、开启第三个参数为True

一道由in_array造成sql报错注入的CTF题

先在本地搭建一下环境。

//index.php

<?php

include 'config.php';

$conn = new mysqli($servername, $username, $password, $dbname);

if ($conn->connect_error) {

    die("连接失败: ");

}

$sql = "SELECT COUNT(*) FROM users";

$whitelist = array();

$result = $conn->query($sql);

if($result->num_rows > 0){

    $row = $result->fetch_assoc();

    $whitelist = range(1, $row['COUNT(*)']);

}

$id = stop_hack($_GET['id']);

$sql = "SELECT * FROM users WHERE id=$id";

if (!in_array($id, $whitelist)) {

    die("id $id is not in whitelist.");

}

$result = $conn->query($sql);

if($result->num_rows > 0){

    $row = $result->fetch_assoc();

    echo "<center><table border='1'>";

    foreach ($row as $key => $value) {

        echo "<tr><td><center>$key</center></td><br>";

        echo "<td><center>$value</center></td></tr><br>";

    }

    echo "</table></center>";

}

else{

    die($conn->error);

}

?>

//config.php

<?php

$servername = "localhost";

$username = "fire";

$password = "fire";

$dbname = "day1";

function stop_hack($value){

	$pattern = "insert|delete|or|concat|concat_ws|group_concat|join|floor|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile|dumpfile|sub|hex|file_put_contents|fwrite|curl|system|eval";

	$back_list = explode("|",$pattern);

	foreach($back_list as $hack){

		if(preg_match("/$hack/i", $value))

			die("$hack detected!");

	}

	return $value;

}

?>

# 搭建CTF环境使用的sql语句

create database day1;

use day1;

create table users (

id int(6) unsigned auto_increment primary key,

name varchar(20) not null,

email varchar(30) not null,

salary int(8) unsigned not null );

INSERT INTO users VALUES(1,'Lucia','Lucia@hongri.com',3000);

INSERT INTO users VALUES(2,'Danny','Danny@hongri.com',4500);

INSERT INTO users VALUES(3,'Alina','Alina@hongri.com',2700);

INSERT INTO users VALUES(4,'Jameson','Jameson@hongri.com',10000);

INSERT INTO users VALUES(5,'Allie','Allie@hongri.com',6000);

create table flag(flag varchar(30) not null);

INSERT INTO flag VALUES('HRCTF{1n0rrY_i3_Vu1n3rab13}');

一开始提示我们加一个id参数。

id=1 and 1=1有回显，id=1 and 1=2异常。存在数字型注入。id=5有回显，id=6报错，一共存在5列。接着暴数据，但是从代码里面看到存在过滤字符。updatexml没有被过滤，使用报错注入，但是concat被禁了，无法拼接数据。这里用到了make_set()函数。

我们先看make_set这个函数的定义

make_set()的用法

返回一个设定值(含子字符串分隔字符串。，。字符)由那些在设置位的相应位的字符串。str1对应于位0，str2至位1，以此类推。NULL值在str1，str2，...不添加到结果。

make_set()应用实例

9化成二进制是1001，倒过来也是1001，那么对应四位数，a对应1，取，b和c对应0，不取，d对应1，取，所以结果是a,d。10化成二进制是1010，倒过来就是0101，a对应0，不取，b对应1,取，c对应0，不取，d对应1，取。所以结果是b,d。

再看

1|4表示进行或运算，为0001 | 0100,得0101，倒过来排序，为1010，同上方法结果是a,c。

但是还有一种就是str里面有null的。

如果null对应到了1那么直接跳过。

payload

3化成二进制是11，倒过来也是11，updatexml报错注入的原理就是Xpath语法遇到特殊字符会报错，并且返回非法格式报错的内容，这里对应1，select database()也对应1。所以能把数据暴出来。

?id=1 and  updatexml(1,make_set(3,'~',(select flag from flag limit 1)),1)

这里碰到了一个小错误。在删掉limit1 之后报错Subquery returns more than 1 row，加个limit 1就好了。因为是白盒测试就直接读flag了。

漏洞成因

先看整个代码的逻辑，白名单是1到5，对id参数进行stop_hack过滤，然后将id的参数代入到$sql语句中，但是因为

if (!in_array($id, $whitelist)) {

    die("id $id is not in whitelist.");

}

in_array没有开启强比较，我们的注入语句可以过去。就像这样

<?php

$id = "1 and  updatexml(1,make_set(3,'~',(select flag from flag limit 1)),1)";

$whitelist  = range(1,5);

if(!in_array($id,$whitelist)){

    echo "True";

}

else{

    echo "False";

}

id在比较的时候变成了1,1在$whitelist内得到False。

接着执行我们的sql语句，就可以暴出数据

巴特西