PHP代码审计基础：代码执行漏洞

2022-10-09 09:11:44

PHP代码执行漏洞可以将代码注入到应用中，最终到webserver去执行。该漏洞主要存在于eval()、assert()、preg_replace()、call_user_func()、array_map()以及动态函数中。

eval()、assert()将输入的字符串参数当作PHP代码来执行.

举个例子：

<?php

if(isset($_GET['cmd']))
{
    $cmd = $_GET['cmd'];
    eval("$cmd");
    #assert("$cmd");
}else
{
    echo '当前没有可执行的代码！';
}

php也是可以执行系统命令的，通过**system()**函数实现：

call_user_func

具体可以这么实现：

<?php

function callBack(){
    $b = $_GET['cmd'];
    eval($b);
}

# 回调函数
call_user_func('callBack');

payload：

?cmd=phpinfo();

测试代码：

<?php
# a作为函数，b作为函数的参数
$_GET['a']($_GET['b']);

payload：

?a=assert&b=phpinfo()

preg_replace()函数就是通过正则替换，但是当正则中包含变量的情况下，会造成一个代码执行。

先来举一个例子，preg_replace中/e模式会将过滤后的字符串当作php代码执行，假如它将我们输入的内容拼接到了正则表达式中，那么我们可以构造一个含有代码执行漏洞的正则表达式：

<?php
echo $cmd = $_GET['cmd'];
echo '<br>';
echo $Str = $_GET['str'];
preg_replace("/<php>(.*?).$cmd","\\1","$Str");

根据正则构造payload：

?cmd=1/e&str=<php>system(whoami);-1--

第二个参数是，替换的字符串，当正则匹配上之后，程序将匹配的内容替换为第二个参数中的内容，如果第二个参数用户可控，那么也有可能造成代码执行：

<?php
preg_replace("/.ak.*php/e",$_GET['cmd'],$_GET['str']);

构造payload：

?str=1akphp&cmd=system(whoami)

假如我们对输入可控，程序又没有做严格的替换，也会代码执行：

<?php
preg_replace("/\[php\](.*?)ak/e","\\1",$_GET['str']);

码农公寓