亚洲乱码中文字幕综合,中国熟女仑乱hd,亚洲精品乱拍国产一区二区三区,一本大道卡一卡二卡三乱码全集资源,又粗又黄又硬又爽的免费视频

PHP多字節(jié)編碼漏洞小結(jié)

  發(fā)布時(shí)間：2014-05-20 23:26:21   作者：佚名   我要評(píng)論
這篇文章主要介紹了PHP多字節(jié)編碼漏洞小結(jié),需要的朋友可以參考下

如果小結(jié)中有理解錯(cuò)誤的地方，麻煩大家提出。漏洞本質(zhì)： php 使用 php_escape_shell_cmd這個(gè)函數(shù)來轉(zhuǎn)義命令行字符串時(shí)是作為單字節(jié)處理的而當(dāng)操作系統(tǒng)設(shè)置了GBK、EUC-KR、SJIS等寬字節(jié)字符集時(shí)候，將 ...
如果小結(jié)中有理解錯(cuò)誤的地方，麻煩大家提出。
 
漏洞本質(zhì)：
php 使用 php_escape_shell_cmd這個(gè)函數(shù)來轉(zhuǎn)義命令行字符串時(shí)是作為單字節(jié)處理的
而當(dāng)操作系統(tǒng)設(shè)置了GBK、EUC-KR、SJIS等寬字節(jié)字符集時(shí)候，將這些命令行字符串傳遞給MySQL處理時(shí)是作為多字節(jié)處理的
 
先看個(gè)簡(jiǎn)單的例子


復(fù)制代碼
代碼如下:

<?php
header('Content-type: text/html; charset=gbk');
//連接MySQL
$conn = mysql_connect("localhost", "root", "");
//選擇數(shù)據(jù)庫
mysql_select_db("test", $conn);
//設(shè)置字符集編碼
mysql_query("SET CHARACTER SET 'gbk'", $conn);

//創(chuàng)建DEMO表如果不存在
mysql_query("CREATE TABLE IF NOT EXISTS `demo` (
`uid` int(10) NOT NULL AUTO_INCREMENT,
`username` varchar(32) NOT NULL,
`password` varchar(32) NOT NULL,
PRIMARY KEY (`uid`)
) ENGINE=MyISAM DEFAULT CHARSET=gbk AUTO_INCREMENT=1;", $conn);
//插入個(gè)測(cè)試數(shù)據(jù)
mysql_query("REPLACE INTO `demo` VALUES('','admin','admin888') ",$conn);
//獲取用戶輸入
$username = isset($_REQUEST['username']) ? $_REQUEST['username'] : '';

//執(zhí)行查詢并且DEBUG
$sql = "SELECT * FROM demo WHERE username = '{$username}' LIMIT 1";
echo "sql: ".$sql."
";
$res = mysql_query($sql, $conn);
$row = mysql_fetch_array($res);
echo "result: <br/>";
var_dump($row);
?>

當(dāng)GPC=OFF時(shí):
username未經(jīng)任何過濾，這是個(gè)典型的字符型SQL注入
測(cè)試地址:
http://localhost/gbk.php?username=' or 1%23
http://localhost/gbk.php?username=' or 0%23
 
當(dāng)然很多情況下GPC=OFF時(shí)候都會(huì)使用一些函數(shù)來過濾用戶的輸入


復(fù)制代碼
代碼如下:

// 對(duì)用戶傳入的變量進(jìn)行轉(zhuǎn)義操作
if (!get_magic_quotes_gpc())
{
$username = addslashes($username);
}

看上去貌似沒問題了，但是由于多字節(jié)編碼問題，同樣還是可以注入的
 
測(cè)試地址:http://localhost/gbk.php?username=%df%27
使用mysql_real_escape_string函數(shù)對(duì)用戶輸入進(jìn)行轉(zhuǎn)義存在同樣的問題
 
目前的很多開源的系統(tǒng)都是通過設(shè)置客戶端的字符集為二進(jìn)制來防止多字節(jié)編碼問題的。
//使用上面這句來替換DEMO中的 mysql_query("SET CHARACTER SET 'gbk'", $conn);
mysql_query("SET character_set_connection=gbk, character_set_results=gbk, character_set_client=binary", $conn);
 
再次測(cè)試:http://localhost/gbk.php?username=%df%27
 
OK，這樣一來，多字節(jié)編碼問題就不存在了嗎？不見得
 
當(dāng)使用mb_convert_encoding、iconv對(duì)字符集進(jìn)行錯(cuò)誤的轉(zhuǎn)換時(shí)候，漏洞再次的出現(xiàn)了（GPC=ON時(shí)問題同樣存在）
 
例如：
$username = iconv('gbk','utf-8',$username);
或
$username = mb_convert_encoding($username,'utf-8','gbk');
 
來看下T00ls上看到的ECSHOP 2.6.x/2.7.x GBK版本的漏洞吧
 
漏洞文件在api/checkorder.php line 28


復(fù)制代碼
代碼如下:

$sql = "SELECT COUNT(*) ".
" FROM " . $ecs->table('admin_user') .
" WHERE user_name = '" . trim($_REQUEST['username']). "' AND password = '" . md5(trim($_REQUEST['password'])) . "'";

我們來看下$_REQUEST['username'] 的獲取過程


復(fù)制代碼
代碼如下:

$_REQUEST['username'] = json_str_iconv($_REQUEST['username']);

json_str_iconv()這個(gè)函數(shù)在includes/lib_base.php中定義，其功能是將非UTF-8編碼的字符串進(jìn)行轉(zhuǎn)換，然后return ecs_iconv('utf-8', EC_CHARSET, $str);
ecs_inonv這個(gè)函數(shù)也在 includes/lib_base.php中定義，看下函數(shù)吧：
function ecs_iconv($source_lang, $target_lang, $source_string = '')
{
static $chs = NULL;

/* 如果字符串為空或者字符串不需要轉(zhuǎn)換，直接返回 */
if ($source_lang == $target_lang || $source_string == '' || preg_match("/[\x80-\xFF]+/", $source_string) == 0)
{
return $source_string;
}

if ($chs === NULL)
{ require_once(ROOT_PATH . 'includes/cls_iconv.php');
$chs = new Chinese(ROOT_PATH);
}

return $chs->Convert($source_lang, $target_lang, $source_string);
}

先是引入了includes/cls_iconv.php這個(gè)文件，然后實(shí)例化了Chinese這個(gè)類，在調(diào)用類的Convert的方法見line 127
$string = $this->_convert_iconv_mbstring($this->SourceText, $this->config['target_lang'], $this->config['source_lang']);
 
又調(diào)用了另外一個(gè)函數(shù)_conver_iconv_mbstring見line 278
//這里錯(cuò)誤的吧字符集從gbk轉(zhuǎn)為了utf8，所以漏洞產(chǎn)生了
$return_string = @mb_convert_encoding($string, $target_lang, $source_lang);

相關(guān)文章

最新評(píng)論