preg_match函数绕过

栏目: PHP · 发布时间: 6年前

内容简介：这是在看完整道题目的代码，我们会发现用户可控的变量只有

这是在 code-breaking 中遇到的一道题目，名为：easy - pcrewaf。题目地址： http://51.158.75.42:8088

preg_match函数绕过

看完整道题目的代码，我们会发现用户可控的变量只有 第11行 的 $data ，而这个 $data 仅仅是用 preg_match 函数过滤了，那么必是要在 preg_match 函数上做文章。我们先来看看 preg_match 函数定义：

preg_match函数绕过

PHP手册告诉我们， preg_match 函数的返回值有3种，分别为（安全的写法是使用 === 运算符对返回值进行比较，手册推荐用效率更快的 strpos 函数替代 preg_match 函数）：

returns 1;      // 如果匹配到.
returns 0;      // 如果未匹配到.
returns FALSE;  // 发生错误时.

我们可以看到题目代码 第12行 直接将 preg_match 函数的返回结果作为 if语句 的条件，这样写明显存在安全隐患。 .* 属于非贪婪模式，当部分正则匹配，但是不符合完整正则时，正则引擎会逐个字符减少，然后回溯匹配。举个例子：

$data = '<?php phpinfo();aa'
preg_match('/<\?.*[(`;?>].*/is', $data);

第一次匹配：
    <?php phpinfo();aa   # 满足正则'<\?.*' ，但是不满足完整正则
第二次匹配：
    <?php phpinfo();a    # 满足正则'<\?.*' ，但是不满足完整正则
第三次匹配：
    <?php phpinfo();     # 满足正则'<\?.*[(`;?>]' ，但是完整正则未匹配结束
第四次匹配：
    <?php phpinfo();     # 满足正则'/<\?.*[(`;?>].*/is' ，满足整个正则

那么这里的递归次数是否会有限制呢？答案是肯定的，在 PHP 中，正则匹配的递归次数由 pcre.backtrack_limit 控制 PHP5.3.7 版本之前默认值为 10万 ， PHP5.3.7 版本之后默认值为 100万 ，该值可以通过php.ini设置，也可以通过 phpinfo 页面查看。

preg_match函数绕过

最后，我们通过上述技巧绕过 preg_match 函数即可。

preg_match函数绕过

PS：针对题目中的正则，我们可以使用 <script language="php">phpinfo();</script> 绕过（PHP < 7.x）

参考：

PHP-preg_match

PHP-pcre.backtrack_limit

深悉正则(pcre)最大回溯/递归限制

PHP利用PCRE回溯次数限制绕过某些安全限制

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍

安全之美

Andy Oram、John Viega / 徐波、沈晓斌 / 机械工业出版社华章公司 / 2011-4-28 / 65.00元

“这本深思熟虑的论文集（《安全之美》）帮助读者摆脱安全领域闪烁着欺骗光芒的心理恐惧，转而欣赏安全的微妙美感。本书描述了安全的阴和阳，以及引人注目的破坏性和闪亮光辉的建设者之间剑拔弩张的气氛。” ——Gary McGraw，Cigital公司CTO，《Software Security》及其他9本书的作者大多数人不会太关注安全问题，直到他们的个人或商业系统受到攻击。这种发人深省的现象证......一起来看看《安全之美》这本书的介绍吧!

码农工具