PHP命令执行漏洞初探
Mirror王宇阳 by
PHP 命令执行
PHP提供如下函数用于执行外部应用程序；例如：system()、shell_exec()、exec()、passthru()
system()
<?php
$host = $argv[1];
system("ping ".$host);
?>
在服务端运行php.exe index.php 192.168.2.1
执行php.exe index.php "|net user"(这里的“|”符号的作用时屏蔽源代码的ping字符)
passthru() — 执行外部程序并且显示原始输出
proc_open() — 执行一个命令，并且打开用来输入/输出的文件指针。
shell_exec() — 通过 shell 环境执行命令，并且将完整的输出以字符串的方式返回。
popen() — 通过 popen() 的参数传递一条命令，并对 popen() 所打开的文件进行执行
eval()
PHP中的eval()函数可以把参数字符串按照PHP代码来动态执行，输入的字符串必须是合法的PHP代码字段并以分号结尾
<?php
eval($_REQUEST['code']);
// $_REQUEST:支持GET和POST两种请求的数据
?>
在URL中插入?code=phpinfo();利用GET方法向服务器请求，服务端的index.php处理代码中的eval()函数会将请求的字符串做为PHP代码执行
动态调用
<?php
function T1() {
echo "<script>alert('Hello,World!');</script>";
return 0 ;
}
function T2() {
echo "<script>alert('Error');</script>";
return 0 ;
}
$fun = $_REQUEST['fun'];
echo $fun();
// 当fun的value为：phpinfo时，在php的echo中构成 phpinfo()
?>
当然了，并不会仅仅只执行一个phpinfo()、T1()……
<?php
$fun = $_GET['fun'];
$par = $_GET['par'];
$fun($par);
?>
PHP的其它危险函数
array_map()
<?php
$arr = $_GET['arr'];
$array = array(1,2,3,4,5);
$new_array = array_map($arr, $array);
?>
array_map() 返回用户自定义函数处理后的数组
assert()
bool assert(mixed $assertion [,string $description])
检查一个断言是否为False；把字符串$description作为PHP代码进行执行
preg_replace()
执行一个正则表达式的搜索和替换
mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )
pattern 要搜索的正则匹配模式
replacement 用于替换的字符串或数组
subject 要进行搜索和替换的字符串或数组
include
include $file
在变量$file可控的情况下，我们就可以包含任意文件，从而达到getshell的目的；
由于不同的配置环境和不同的包含文件分为：远程文件包含和本地文件包含
文件操作函数
copy：拷贝文件
file_get_contents：将整个文件读入为一个字符串
file_put_contents：将一个字符串写入文件
file：把整个文件读入一个数组中
fopen：打开文件或者 URL
move_uploaded_file：将上传的文件移动到新位置
readfile：输出文件
rename：重命名一个文件或目录
rmdir：删除目录
unlink & delete：删除文件
特殊函数
phpinfo()：这个文件里面包含了PHP的编译选项，启动的扩展、版本、服务器配置信息、环境变量、操作系统信息、path变量等非常重要的敏感配置信息
使用软连接读取文件内容
symlink()：一般是在linux服务器上使用的，为一个目标建立一个连接，在读取这个链接所连接的文件的内容，并返回内容
环境变量
getenv：获取一个环境变量的值
putenv($a) ：添加$a到服务器环境变量，但环境变量仅存活于当前请求期间。 在请求结束时环境会恢复到初始状态。
推荐文章： PHP代码审计——常见危险及特殊函数