前段時間做了南京郵電大學網路攻防平台上面的題目，寫了乙個writeup之後，還有必要總結一下。由於做的題目都是web型別的，所有的題目都是使用php來寫的，所以很多題目並沒有考察到傳統的如sql注入，xss的型別的漏洞，很多都是php本身語法的問題。鑑於目前php是世界上最好的語言，php本身的問題也可以算作是web安全的乙個方面。在php中的特性就是弱型別，以及內建函式對於傳入引數的鬆散處理。本篇文章主要就是記錄我在做攻防平台上面遇到的php的函式中存在的問題，以及php的弱型別所帶來的問題。
php弱型別簡介
在php中，可以進行一下的操作。
$param = 1;$param = array();
$param = "stringg";
弱型別的語言對變數的資料型別沒有限制，你可以在任何地時候將變數賦值給任意的其他型別的變數，同時變數也可以轉換成任意地其他型別的資料。
型別轉換問題
型別轉換是無法避免的問題。例如需要將get或者是post的引數轉換為int型別，或者是兩個變數不匹配的時候，php會自動地進行變數轉換。但是php是乙個弱型別的語言，導致在進行型別轉換的時候會存在很多意想不到的問題。
比較操作符
在$a==$b的比較中
$a=null;$b=flase ; //true$a='';$b=null; //true
這樣的例子還有很多，這種比較都是相等。
使用比較操作符的時候也存在型別轉換的問題，如下：
0=='0'//true
0 == 'abcdefg'
//true
0 === 'abcdefg'
//false
1 == '1abcdef'
//true
當不同型別的變數進行比較的時候就會存在變數轉換的問題，在轉換之後就有可能會存在問題。
除了以上的這種方式之外在進行hash比較的時候也會存在問題。如下：
"0e132456789"=="0e7124511451155"//true
"0e123456abc"=="0e1dddada"
//false
"0e1abc"=="0"
//true
在進行比較運算時，如果遇到了0e\d+這種字串，就會將這種字串解析為科學計數法。所以上面例子中2個數的值都是0因而就相等了。如果不滿足0e\d+這種模式就不會相等。這個題目在攻防平台中的md5 collision就有考到。
還存在一種十六進製製余字串進行比較運算時的問題。例子如下：
"0x1e240"=="123456"//true
"0x1e240"==123456 //true
"0x1e240"=="1e240"
//false
當其中的乙個字串是0x開頭的時候，php會將此字串解析成為十進位制然後再進行比較，0×1240解析成為十進位制就是123456，所以與int型別和string型別的123456比較都是相等。攻防平台中的起名字真難就是考察的這個特性。
常見的轉換主要就是int轉換為string，string轉換為int。
int轉string：
$var = 5;方式1：$item = (string)$var;
方式2：$item = strval($var);
string轉int：intval()函式。
對於這個函式，可以先看2個例子。
var_dump(intval('2')) //2var_dump(intval('3abcd')) //3
var_dump(intval('abcd')) //0
說明intval()轉換的時候，會將從字串的開始進行轉換知道遇到乙個非數字的字元。即使出現無法轉換的字串，intval()不會報錯而是返回0。
intval()的這種特性在攻防平台中的mysql這道題目中就有考到。
同時，程式設計師在程式設計的時候也不應該使用如下的這段**：
if(intval($a)>1000)這個時候$a的值有可能是1002 union…..
內建函式的引數的鬆散性
內建函式的鬆散性說的是，呼叫函式時給函式傳遞函式無法接受的引數型別。解釋起來有點拗口，還是直接通過實際的例子來說明問題，下面會重點介紹幾個這種函式。
md5()
$array1 = array("foo" => "bar",
"bar" => "foo",
);
$array2 = array("foo", "bar", "hello", "world");
var_dump(md5($array1)==var_dump($array2)); //true
php手冊中的md5()函式的描述是string md5 ( string $str [, bool $raw_output = false ] )，md5()中的需要是乙個string型別的引數。但是當你傳遞乙個array時，md5()不會報錯，知識會無法正確地求出array的md5值，這樣就會導致任意2個array的md5值都會相等。這個md5()的特性在攻防平台中的bypass again同樣有考到。
strcmp()
strcmp()函式在php官方手冊中的描述是int strcmp ( string $str1 , string $str2 ),需要給strcmp()傳遞2個string型別的引數。如果str1小於str2,返回-1，相等返回0，否則返回1。strcmp函式比較字串的本質是將兩個變數轉換為ascii，然後進行減法運算，然後根據運算結果來決定返回值。
如果傳入給出strcmp()的引數是數字呢？
$array=[1,2,3];var_dump(strcmp($array,'123')); //null,在某種意義上null也就是相當於false。
strcmp這種特性在攻防平台中的pass check有考到。
switch()
如果switch是數字型別的case的判斷時，switch會將其中的引數轉換為int型別。如下：
$i ="2abc";switch ($i)
這個時候程式輸出的是i is less than 3 but not negative，是由於switch()函式將$i進行了型別轉換，轉換結果為2。
in_array()
在php手冊中，in_array()函式的解釋是bool in_array ( mixed $needle , array $haystack [, bool $strict = false ] ),如果strict引數沒有提供，那麼in_array就會使用鬆散比較來判斷$needle是否在$haystack中。當strince的值為true時，in_array()會比較needls的型別和haystack中的型別是否相同。
$array=[0,1,2,'3'];var_dump(in_array('abc', $array)); //true
var_dump(in_array('1bc', $array)); //true
可以看到上面的情況返回的都是true,因為』abc』會轉換為0，』1bc』轉換為1。
array_search()與in_array()也是一樣的問題。
PHP弱型別導致的安全問題 md5
bypass again 200 hctf if isset get a and isset get b 可以看出要求，要驗證輸入的a與b，既要ab不等，又要md5後 這裡用到md5對於array型別比較都相等。ps php手冊中的md5 函式的描述是string md5 string str bo...
PHP開發安全問題總結
簡介 當開發乙個網際網路服務的時候，必須時刻牢記安全觀念，並在開發的 中體現。php指令碼語言對安全問題並不關心，特別是對大多數沒有經驗的開發者來說。每當你講任何涉及到錢財事務等交易問題時，需要特別注意安全問題的考慮，例如開發乙個論壇或者是乙個購物車等。需要在伺服器端進行驗證，對每個php指令碼驗證...
PHP開發安全問題總結
php給了開發者極大的靈活性，但是這也為 問題帶來了潛在的隱患，近期需要總結一下以往的問題，在這裡借翻譯一篇文章同時加上自己開發的一些感觸總結一下。當開發乙個網際網路服務的時候，必須時刻牢記安全觀念，並在開發的 中體現。php指令碼語言對安全問題並不關心，特別是對大多數沒有經驗的開發者來說。每當你講...