PHP中GPC

 PS：PHP中繞過GPC的情況有很多，本文僅僅是總結(jié)了一些比較常見的，而且寫的很淺[因為本人水平有限]，歡迎大家積極拍磚:)

1.通過數(shù)據(jù)庫（文本）中轉(zhuǎn)

通過數(shù)據(jù)庫中轉(zhuǎn)：

                                                  [注意存入數(shù)據(jù)庫和select出的數(shù)據(jù)]
用戶輸入===>gpc\addslashes()==========>數(shù)據(jù)庫=========>執(zhí)行sql語句\include\寫入緩存文件
                                               insert\update                 select                             
                                                  
這個問題是程序員容易忽略的，往往只是依靠gpc或addslashes函數(shù)對用戶直接輸入的數(shù)據(jù)進行處理，這樣數(shù)據(jù)中的'"等都會被\轉(zhuǎn)義，這樣就能正確的執(zhí)行sql語句，有效防止注入攻擊了。但存入數(shù)據(jù)庫的數(shù)據(jù)呢？在執(zhí)行完sql語句存入數(shù)據(jù)庫的是經(jīng)過gpc處理前的原始數(shù)據(jù)，那么當(dāng)程序再select出的就是受污染的數(shù)據(jù)了，如果把select出的數(shù)據(jù)再執(zhí)行sql語句，那么就觸發(fā)了sqlinj,如果直接寫入緩存文件的話就有可能直接拿shell了:)

通過文本中轉(zhuǎn)：

用戶輸入===>gpc\addslashes()===>寫入文本文件===>include===>再次寫入文本文件\執(zhí)行sql語句

這個和通過數(shù)據(jù)庫中轉(zhuǎn)大致是一樣的，對于寫文件的操作如果處理不當(dāng)是有可能被攻擊者直接拿shell的，我們來看看php168的一個代碼片段：

function login_logs($username,$password) {
     global $timestamp,$onlineip;
     $logdb[]="$username\t$password\t$timestamp\t$onlineip";
     @include(PHP168_PATH."cache/adminlogin_logs.php");
     $writefile="<?php \r\n";
     $jj=0;
     foreach($logdb AS $key=>$value) {
         $jj++;
         $writefile.="\$logdb[]=\"$value\";\r\n";
 
         if($jj>200) {
             break;
         }
     }
     write_file(PHP168_PATH."cache/adminlogin_logs.php",$writefile);
 }

php168在登錄后臺時如果輸入的用戶名或密碼有誤就會執(zhí)行這個login_logs函數(shù)把登錄者的信息記錄在adminlogin_logs.php，如果用戶輸入的$username的數(shù)據(jù)是“";eval($_POST[cmd]); //”,前面的"被閉合了，成功的寫入了shell。但如果gpc為on的話，"會被轉(zhuǎn)義成\"，無法利用了。但注意這里會先包含adminlogin_logs.php，并循環(huán)數(shù)組把數(shù)據(jù)再次寫入adminlogin_logs.php，要知道，這里的\僅僅是轉(zhuǎn)義字符，所以include后$logdb依舊是受污染的原數(shù)據(jù)，再次寫入文件時"就起作用了，成功寫入了shell。

2.通過編碼

UTF-7(+ACc-)===>gpc\addslashes()===>mb_convert_encoding()===>UTF-8(')

這個問題的具體例子可見：http://superhei.blogbus.com/logs/4255503.html

0xbf27===>gpc\addslashes()===>0xbf5c27===>執(zhí)行sql語句[數(shù)據(jù)庫編碼支持多字節(jié)]

PHP里的函數(shù)大多是把字符串作為單字節(jié)進行處理的，那么如果數(shù)據(jù)庫編碼支持多字節(jié)呢，我們可以利用這個特性引入'，而這里，gpc不但沒起作用還幫了我們的忙:)
詳見：http://shiflett.org/blog/2006/jan/addsl … ape-string

用戶輸入(經(jīng)過urlencode\rawurlencode\base64_encode等函數(shù)處理)===>gpc\addslashes()===>urldecode\rawurldecode\base64_decode等函數(shù)===>執(zhí)行SQL語句\include

通過二次編碼繞過gpc\addslashes，比如'的URL編碼二次編碼%25%27。

3.一些函數(shù)的錯誤處理

看看下面的函數(shù)處理的字符串：

substr($_GET['a'], 1);

假設(shè)輸入的$_GET['a']為'haha，經(jīng)過gpc\addslashes()會變?yōu)閈'haha，再經(jīng)過substr處理后又變回了'haha.

處理字符串的函數(shù)有很多，往往程序員的一個不注意就能給我們帶來很多有意思的利用:)

4.字符串和數(shù)組

看看下面的代碼：

$a = $_GET['a'];
echo $a[1];

輸入$_GET['a']為'haha，經(jīng)過gpc\addslashes()會變?yōu)閈'haha，看看手冊里對字符串的一段描述：

字符串中的字符可以通過在字符串之后用花括號指定所要字符從零開始的偏移量來訪問和修改

這里也可以用方括號替代花括號[這是為了兼容較早的PHP版本，其實就是把字符串當(dāng)數(shù)組處理的]，有了這個特性我們能做很多事啊，比如這里$a[1]的輸出就是'了:)，當(dāng)然具體大的利用要看具體的代碼。

5.PHP自身的一些缺陷

PHP5的GPC對$_SERVER的忽略
見劍心的《PHP5繞過缺陷》

PHP某些版本對%00的錯誤轉(zhuǎn)義