码迷,mamicode.com
首页 > Web开发 > 详细

PHP代码审计-小题一道

时间:2019-12-10 13:03:28      阅读:160      评论:0      收藏:0      [点我收藏+]

标签:用户名   getenv   echo   数组   forbidden   ring   自动   相同   也会   

PHP代码:

 1 <?php
 2 
 3 if (empty($_POST[‘hmac‘]) || empty($_POST[‘host‘])) {
 4     header(‘HTTP/1.0 400 Bad Request‘);
 5     exit;
 6 }
 7 
 8 $secret = getenv("SECRET");
 9 
10 if (isset($_POST[‘nonce‘]))
11     $secret = hash_hmac(‘sha256‘, $_POST[‘host‘], $secret);
12 
13 $hmac = hash_hmac(‘sha256‘, $_POST[‘host‘], $secret);
14 
15 if ($hmac !== $_POST[‘hmac‘]) {
16     header(‘HTTP/1.0 403 Forbidden‘);
17     exit;
18 }
19 
20 echo exec("host ".$_POST[‘host‘]);
21 ?>

 

解读代码,整个流程就是POST方式传送hmac和hmac,最后绕过判断,POST传送的hmac与加密后的hmac相同,最终执行echo exec("host ".$_POST[‘host‘]); 表示成功。

 

2个判断:

if (empty($_POST[‘hmac‘]) || empty($_POST[‘host‘])) {
	header(‘HTTP/1.0 400 Bad Request‘);
	exit;
}

if ($hmac !== $_POST[‘hmac‘]) { header(‘HTTP/1.0 403 Forbidden‘); exit; }

主要是第二个判断,考虑PHP的类型自动转换,控制的变量只有host和nonce

 

技术图片在传入参数的时候,PHP不仅可以让你决定传入的值是什么,还可以让你决定传入的类型。所以可以是nonce=123,也可以传入一个数组nonce[]=123。那么我们试试:

技术图片可以看到,返回了NULL,有的PHP版本同时还会提示一个warning,但返回的也是NULL。那么我们如果nonce传入一个数组,接下来的hmac我们也会知道:

技术图片

我们在host参数传入;id,最后会执行host ;id就会打印出当前的计算机用户名。

 

最终我们的需要post的数据为:

 hmac=58dedd736c5af324a198c6c663e569df59691854d1f53d704bdbce40f1d139c1&host=;id&nonce[]=1

  

PHP代码审计-小题一道

标签:用户名   getenv   echo   数组   forbidden   ring   自动   相同   也会   

原文地址:https://www.cnblogs.com/Risk2S/p/12015809.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!